API и безопасность

Инструменты веб-безопасности

Защита веб-приложения сводится к тому, чтобы правильно настроить несколько заголовков ответа: Content-Security-Policy, который не ломает защищаемое приложение, хеши Subresource Integrity для сторонних скриптов и cookie с верными флагами безопасности. Эти инструменты позволяют составить и проверить такую конфигурацию до продакшена, работая с уже имеющимся текстом заголовка или скрипта.

Используйте Генератор CSP, чтобы проверить, как черновая политика сопоставляется с ресурсами, не отправляя ни одного реального запроса на сайт, а Генератор заголовков безопасности — для более широкого набора, включая CORS, HSTS и связанные заголовки вместе. Генератор SRI хешей создаёт атрибут integrity для конкретного файла скрипта или стилей, а парсер Cookie отдельно читает заголовки Cookie и Set-Cookie, так что флаги вроде Secure и SameSite легко проверить. Всё работает в вашем браузере.

5 инструментов

Все инструменты категории «Web Security Config»

Вопросы об инструментах категории «Web Security Config»

Почему моя Content-Security-Policy блокирует скрипты, которые должны быть разрешены?

CSP работает по принципу белого списка, поэтому всё, что явно не совпало с выражением источника, блокируется по умолчанию, включая встроенные скрипты, если вы не разрешили их отдельно. Генератор CSP позволяет проверить, как черновая политика сопоставляется с конкретными URL ресурсов, ещё до деплоя, без реальных запросов.

От чего на самом деле защищает атрибут SRI integrity?

Он не даёт скомпрометированному или подменённому стороннему скрипту или файлу стилей выполниться: браузер хеширует загруженный файл и сравнивает результат со значением integrity перед запуском. Генератор SRI хешей считает этот хеш для нужного скрипта или файла стилей, чтобы добавить его в тег.

В чём разница между заголовками Cookie и Set-Cookie?

Set-Cookie отправляет сервер, чтобы создать или обновить cookie, и может нести флаги вроде Secure, HttpOnly и SameSite; Cookie отправляет браузер при следующих запросах и несёт только пары имя-значение. парсер Cookie разбирает каждый из них отдельно, поэтому проблемы с флагами легко заметить.