ZenovayTools

CSP-Analyzer

Tiefe Analyse von Content Security Policy — dekodiert alle Direktiven, erkennt unsafe-inline/unsafe-eval, identifiziert Tracker-Ursprünge, die in script-src zugelassen sind, und bewertet die CSP-Stärke mit Note A-F unter Betrachtung der Privatsphäre.

So verwenden Sie CSP-Analyzer

  1. 1Geben Sie die URL der Website ein, die Sie analysieren möchten.
  2. 2Zeigen Sie alle CSP-Direktiven dekodiert mit Sicherheitsanalyse pro Direktive an.
  3. 3Überprüfen Sie Tracker-Ursprünge, die in Ihrem script-src zugelassen sind (Datenschutzperspektive).
  4. 4Nutzen Sie die Empfehlungen, um Ihre Richtlinie zu verstärken.
ZenovayAnalytics

Sehen Sie, wer gerade auf Ihrer Seite ist.

  • Besucher-Tracking in Echtzeit
  • Datenschutz zuerst, kein Cookie-Banner
  • In zwei Minuten eingerichtet
Zenovay entdecken

Verwandte Tools

Passwort-Generator
Generieren Sie starke, zufällige Passwörter mit anpassbarer Länge, Zeichen und Komplexität.
Passwort-Stärke-Prüfer
Überprüfen Sie, wie stark Ihr Passwort ist. Erhalten Sie eine geschätzte Knackzeit und Verbesserungsvorschläge.
HMAC-Generator
Generieren Sie HMAC-Signaturen mit SHA-256, SHA-384 oder SHA-512 mit der Web Crypto API.
AES-Verschlüsselung/Entschlüsselung
Verschlüsseln und entschlüsseln Sie Text mit AES-GCM und PBKDF2-Schlüsselableitung. Läuft vollständig in Ihrem Browser.

Häufig gestellte Fragen

Was ist eine Content Security Policy (CSP)?▾
Eine Content Security Policy ist ein HTTP-Antwort-Header, der Browsern mitteilt, welche Quellen Skripte, Styles, Bilder und andere Ressourcen auf Ihrer Seite laden dürfen. Sie ist die primäre Verteidigung gegen Cross-Site-Scripting (XSS)-Angriffe — eine korrekt konfigurierte CSP verhindert die Ausführung eingeschleuster Skripte, selbst wenn ein Angreifer eine XSS-Schwachstelle findet.
Warum ist 'unsafe-inline' in script-src ein Problem?▾
'unsafe-inline' erlaubt Inline-JavaScript (Skripte in <script>-Tags, onclick-Attributen, javascript:-URLs). Dies ist der häufigste XSS-Vektor — es bedeutet, dass jedes eingeschleuste Inline-Skript ausgeführt werden kann. Die Verwendung von Nonces (kryptografische Einmal-Token, die pro Anfrage generiert werden) oder Hashes (SHA-256 erlaubter Skripte) ermöglicht es, bestimmte Inline-Skripte zu erlauben, ohne alle Inline-Skripte zu aktivieren.
Was ist der Datenschutz-Aspekt der CSP?▾
Ihre script-src- und connect-src-Direktiven sind im Wesentlichen eine Berechtigungsliste, wer Code ausführen und Daten von Ihrer Seite empfangen darf. Wenn Sie Google Analytics, Facebook, TikTok und LinkedIn in Ihrer CSP whitelisted haben, autorisieren Sie diese Unternehmen explizit, Code auf Ihren Seiten auszuführen und potenziell Nutzerdaten zu exfiltrieren. Dies ist eine DSGVO-Datenverarbeiterliste, versteckt in Ihren HTTP-Headern.
Wogegen schützt 'object-src: none'?▾
object-src steuert die <object>-, <embed>- und <applet>-Elemente — historisch verwendet, um Flash, Java und andere Plugins zu laden. Das Setzen von object-src: 'none' verhindert das Laden von Plugin-Inhalten und eliminiert eine ganze Klasse von Angriffen und potenzielle Drittanbieter-Datenexfiltration über Plugin-Inhalte. Dies sollte auf modernen Websites immer auf 'none' gesetzt werden.
Was ist der Unterschied zwischen CSP und CSP-Report-Only?▾
Content-Security-Policy erzwingt die Richtlinie — Browser blockieren Verstöße. Content-Security-Policy-Report-Only protokolliert Verstöße nur an einen Report-Endpunkt, ohne etwas zu blockieren. Report-Only ist nützlich, um eine neue CSP vor der Durchsetzung zu testen, bietet aber keinerlei tatsächlichen Schutz. Ein häufiger Fehler ist das versehentliche Einsetzen von Report-Only statt des durchgesetzten Headers.
Wie unterscheidet sich dieser CSP-Analyzer von anderen Tools?▾
Die meisten CSP-Tools prüfen nur unsafe-inline und fehlende Direktiven. Dieser Analyzer vergleicht zusätzlich Ihre script-src- und connect-src-Einträge mit einer Datenbank von mehr als 35 bekannten Tracker- und Werbedomains und zeigt Ihnen genau, welche Datenhändler und Werbenetzwerke explizite CSP-Berechtigung haben, auf Ihrer Website zu operieren — ein einzigartiger datenschutzorientierter Ansatz.
Was ist die base-uri-Direktive und warum ist sie wichtig?▾
base-uri steuert, welche URLs im <base>-HTML-Element verwendet werden können. Wenn eine Website für HTML-Injection (aber nicht Script-Injection) anfällig ist, kann ein Angreifer <base href="https://angreifer.com/"> einschleusen, um alle relativen URLs — wie Formular-Action-Ziele — auf seinen Server umzuleiten. Das Setzen von base-uri: 'none' oder base-uri: 'self' eliminiert diesen Angriffsvektor.