ZenovayTools

Analizador de CSP

Análisis profundo de Content Security Policy: decodifica todas las directivas, detecta unsafe-inline/unsafe-eval, identifica orígenes de rastreadores incluidos en script-src y califica la fortaleza de CSP de A-F con enfoque en privacidad.

Cómo usar Analizador de CSP

  1. 1Ingresa la URL del sitio web que deseas analizar.
  2. 2Ve cada directiva de CSP decodificada con análisis de seguridad por directiva.
  3. 3Revisa los orígenes de rastreadores incluidos en tu script-src (enfoque de privacidad).
  4. 4Usa las recomendaciones para fortalecer tu política.
ZenovayAnalytics

Ve quién está en tu sitio ahora mismo.

  • Seguimiento de visitantes en tiempo real
  • Privacidad primero, sin aviso de cookies
  • Configurado en dos minutos
Descubre Zenovay

Herramientas relacionadas

Generador de Contraseñas
Genera contraseñas fuertes y aleatorias con longitud, caracteres y complejidad personalizables.
Verificador de Fortaleza de Contraseña
Verifica qué tan fuerte es tu contraseña. Obtén un tiempo estimado de descifrado y sugerencias de mejora.
Generador HMAC
Genera firmas HMAC usando SHA-256, SHA-384 o SHA-512 con la API Web Crypto.
Cifrado/Descifrado AES
Cifra y descifra texto usando AES-GCM con derivación de clave PBKDF2. Se ejecuta completamente en tu navegador.

Preguntas frecuentes

¿Qué es Content Security Policy (CSP)?▾
Content Security Policy es una cabecera de respuesta HTTP que indica a los navegadores qué fuentes están autorizadas para cargar scripts, estilos, imágenes y otros recursos en su página. Es la principal defensa contra los ataques de Cross-Site Scripting (XSS): una CSP correctamente configurada impide que los scripts inyectados se ejecuten incluso si un atacante encuentra una vulnerabilidad XSS.
¿Por qué es problemático 'unsafe-inline' en script-src?▾
'unsafe-inline' permite JavaScript en línea (scripts en etiquetas <script>, atributos onclick, URLs javascript:). Este es el vector XSS más común: significa que cualquier script en línea inyectado puede ejecutarse. El uso de nonces (tokens de un solo uso criptográficos generados por solicitud) o hashes (SHA-256 de scripts permitidos) le permite autorizar scripts en línea específicos sin habilitar todos los scripts en línea.
¿Cuál es el ángulo de privacidad de CSP?▾
Sus directivas script-src y connect-src son esencialmente una lista de permisos de quién puede ejecutar código y recibir datos de su página. Si ha incluido en la lista blanca Google Analytics, Facebook, TikTok y LinkedIn en su CSP, está autorizando explícitamente a esas empresas a ejecutar código en sus páginas y potencialmente exfiltrar datos de usuarios. Es una lista de autorización de procesadores de datos GDPR oculta en sus cabeceras HTTP.
¿Contra qué protege 'object-src: none'?▾
object-src controla los elementos <object>, <embed> y <applet>, históricamente usados para cargar Flash, Java y otros plugins. Establecer object-src: 'none' impide que se cargue cualquier contenido de plugin, eliminando toda una clase de ataques y la potencial exfiltración de datos de terceros mediante contenido de plugins. Siempre debe establecerse en 'none' en los sitios modernos.
¿Cuál es la diferencia entre CSP y CSP-Report-Only?▾
Content-Security-Policy aplica la política: los navegadores bloquean las infracciones. Content-Security-Policy-Report-Only solo registra las infracciones en un endpoint de informe sin bloquear nada. Report-Only es útil para probar una nueva CSP antes de aplicarla, pero no proporciona protección real alguna. Un error común es implementar accidentalmente Report-Only en lugar de la cabecera aplicada.
¿En qué se diferencia este analizador CSP de otras herramientas?▾
La mayoría de las herramientas CSP solo comprueban unsafe-inline y directivas faltantes. Este analizador además cruza su script-src y connect-src con una base de datos de más de 35 dominios de rastreo y publicidad conocidos, mostrándole exactamente qué intermediarios de datos y redes publicitarias tienen permiso CSP explícito para ejecutarse en su sitio: un ángulo único centrado en la privacidad.
¿Qué es la directiva base-uri y por qué importa?▾
base-uri controla qué URLs pueden usarse en el elemento HTML <base>. Si un sitio es vulnerable a la inyección HTML (pero no a la inyección de scripts), un atacante puede inyectar <base href="https://atacante.com/"> para redirigir todas las URLs relativas (como los destinos de acción de formularios) a su servidor. Establecer base-uri: 'none' o base-uri: 'self' elimina este vector de ataque.