Vai al contenuto
100% locale

Analizzatore di rapporti di violazione CSP

Trasforma i rapporti di violazione CSP incollati in un riepilogo leggibile di quali direttive e origini sono bloccate.

Ingresso
Uscita

Analizzatore di rapporti di violazione CSP

Incolla il JSON che il tuo endpoint report-uri di CSP o il tuo raccoglitore Reporting API ha ricevuto e questo strumento trasforma una valanga di rapporti di violazione in un riepilogo che puoi effettivamente leggere: quali direttive sono bloccate e quali origini le attivano. È progettato per gli sviluppatori che implementano o inaspriscono una Content-Security-Policy e hanno bisogno di vedere il modello tra decine o centinaia di rapporti piuttosto che leggerli uno per uno.

Raggruppa per direttiva per vedere quali sezioni di policy si attivano di più, o raggruppa per origine bloccata per trovare lo script o il foglio di stile che causa più rumore. Nascondi i rapporti dalle estensioni del browser — Chrome e Firefox inviano corpi di rapporto csp con un chrome-extension: o moz-extension: bloccato ogni volta che un'estensione installata viola la policy della pagina, il che non ha nulla a che fare con il tuo codice. Attiva le pagine interessate per vedere ogni URL di documento in cui è stata vista una violazione. Passa l'output a regole consigliate e lo strumento propone le aggiunte all'elenco di origini — origins, 'unsafe-inline', data: — che consentirebbero a ogni direttiva bloccata di passare, come punto di partenza per ampliare la policy.

L'analizzatore accetta un array JSON, un singolo oggetto rapporto, o un rapporto per riga, e comprende sia il corpo POST classico {"csp-report": {...}} che l'involucro Reporting API più recente {"type", "body"}, quindi i log server grezzi si incollano senza riformattazione. I rapporti che non si analizzano vengono ignorati piuttosto che far fallire il batch, e il conteggio mostra quanti rapporti sono arrivati, in quanti gruppi si sono compressi e quanti rapporti di estensioni sono stati filtrati.

Tutto viene eseguito nel tuo browser. I rapporti incollati non vengono mai caricati da nessuna parte, il che conta perché possono includere URL interni e struttura della pagina. Copia il riepilogo, scaricalo come file .txt, o invialo all'input di un altro strumento per continuare a lavorare.

FAQ

Quali formati di rapporto supporta?
Entrambi i formati che i browser inviano: il corpo POST report-uri classico racchiuso in "csp-report", e l'involucro Reporting API più recente con un campo "body". Accetta anche un oggetto rapporto nudo senza involucro, e sia un array JSON che un rapporto per riga.
Qual è la differenza tra raggruppare per direttiva e per origine?
Raggruppare per direttiva mostra quali sezioni di policy (script-src, style-src…) si attivano di più; raggruppare per origine bloccata mostra quale script, foglio di stile o altra risorsa causa la maggior parte delle violazioni tra le direttive.
Perché alcuni rapporti sono nascosti per impostazione predefinita?
I rapporti il cui uri bloccato inizia con chrome-extension: o moz-extension: provengono da un'estensione del browser che viola la policy della pagina, non dal tuo codice. Nasconderli è attivato per impostazione predefinita; disattivalo per vedere tutto.
Come vengono calcolate le regole consigliate?
Per ogni direttiva, lo strumento raccoglie ogni distinta origine bloccata vista e la riduce a un'espressione di origine CSP — un'origine per un URL, 'unsafe-inline' per script o stili inline, 'unsafe-eval' per eval, data: per URI di dati — quindi li elenca come punto di partenza, non come una policy da incollare senza revisione.
I miei dati del rapporto vengono caricati da qualche parte?
No. L'analisi avviene interamente nel tuo browser — i rapporti incollati non lasciano mai il tuo dispositivo.