{
"url": "https://example.com/",
"finalUrl": "https://example.com/",
"statusCode": 200,
"enforced": false,
"verdict": "no_csp",
"scriptProtection": "none",
"grade": "F",
"score": 40,
"summary": {
"errors": 1,
"warnings": 0,
"infos": 0
},
"policies": [],
"issues": [
{
"severity": "error",
"code": "csp_missing",
"message": "No Content-Security-Policy header and no <meta http-equiv=\"Content-Security-Policy\"> tag was found, so the browser applies no CSP and nothing limits where scripts load from. Basis: W3C Content Security Policy Level 3, \"Content-Security-Policy header\".",
"docs": "https://www.w3.org/TR/CSP3/#csp-header"
}
],
"metaPolicies": 0,
"cached": false,
"checkedAt": "2026-10-21T15:38:39.223Z",
"note": "Evaluates the Content Security Policy that the page declares in its HTTP response headers (Content-Security-Policy and Content-Security-Policy-Report-Only) and in <meta http-equiv> tags in the HTML head, using the W3C Content Security Policy Level 3 rules. The page is fetched with this API's own user agent, so a site that serves different headers to other clients can look different to real browsers. Policies set by scripts at runtime are not seen. Findings are static analysis of the policy text: they do not prove that a page is exploitable or safe, and a clean report is not a security guarantee."
}
curl --location --request GET 'https://zylalabs.com/api/14379/csp+evaluator+api/36041/evaluate+the+content+security+policy+of+a+website?url=https://example.com' --header 'Authorization: Bearer YOUR_API_KEY'
Después de registrarte, a cada desarrollador se le asigna una clave de acceso a la API personal, una combinación única de letras y dígitos proporcionada para acceder a nuestro endpoint de la API. Para autenticarte con el Evaluador CSP API simplemente incluye tu token de portador en el encabezado de Autorización.
| Encabezado | Descripción |
|---|---|
Autorización
|
Requerido
Debería ser Bearer access_key. Consulta "Tu Clave de Acceso a la API" arriba cuando estés suscrito.
|
Sin compromiso a largo plazo. Mejora, reduce o cancela en cualquier momento. La Prueba Gratuita incluye hasta 50 solicitudes.
Encuentra los puntos débiles en una Política de Seguridad de Contenidos de un sitio web que socavan la protección contra la inyección de scripts. Devuelve un informe JSON clasificado con un veredicto, una calificación y códigos de problemas estables
La Política de Seguridad de Contenidos de una página web se lee desde los encabezados de respuesta y desde las etiquetas meta en la cabecera HTML. Devuelve un veredicto un nivel de protección de scripts una calificación las políticas analizadas y los problemas codificados cada uno vinculado a la sección de Nivel 3 del W3C CSP en la que se basa
No es una evaluación estática del texto de la póliza Un informe limpio no es una garantía de seguridad y las políticas que los scripts añaden en tiempo de ejecución no se ven
Estricto significa que los scripts están protegidos por nonces o hashes permitir lista significa que solo una lista de permiso de host los protege ninguno significa que no hay protección efectiva de scripts y desconocido significa que no se pudo determinar por ejemplo porque la página devolvió un estado de error
Sí Un dominio vacío como example.com se considera como https Se aceptan alias de parámetros como u link target y site también
Sí Los resultados se almacenan en caché durante 15 minutos Agrega el parámetro fresh establecido en 1 para omitir la caché por ejemplo justo después de cambiar tu política