{
"url": "https://example.com/",
"finalUrl": "https://example.com/",
"statusCode": 200,
"enforced": false,
"verdict": "no_csp",
"scriptProtection": "none",
"grade": "F",
"score": 40,
"summary": {
"errors": 1,
"warnings": 0,
"infos": 0
},
"policies": [],
"issues": [
{
"severity": "error",
"code": "csp_missing",
"message": "No Content-Security-Policy header and no <meta http-equiv=\"Content-Security-Policy\"> tag was found, so the browser applies no CSP and nothing limits where scripts load from. Basis: W3C Content Security Policy Level 3, \"Content-Security-Policy header\".",
"docs": "https://www.w3.org/TR/CSP3/#csp-header"
}
],
"metaPolicies": 0,
"cached": false,
"checkedAt": "2026-10-21T15:38:39.223Z",
"note": "Evaluates the Content Security Policy that the page declares in its HTTP response headers (Content-Security-Policy and Content-Security-Policy-Report-Only) and in <meta http-equiv> tags in the HTML head, using the W3C Content Security Policy Level 3 rules. The page is fetched with this API's own user agent, so a site that serves different headers to other clients can look different to real browsers. Policies set by scripts at runtime are not seen. Findings are static analysis of the policy text: they do not prove that a page is exploitable or safe, and a clean report is not a security guarantee."
}
curl --location --request GET 'https://zylalabs.com/api/14379/csp+evaluator+api/36041/evaluate+the+content+security+policy+of+a+website?url=https://example.com' --header 'Authorization: Bearer YOUR_API_KEY'
Después de registrarte, a cada desarrollador se le asigna una clave de acceso a la API personal, una combinación única de letras y dígitos proporcionada para acceder a nuestro endpoint de la API. Para autenticarte con el Evaluador CSP API simplemente incluye tu token de portador en el encabezado de Autorización.
| Encabezado | Descripción |
|---|---|
Autorización
|
Requerido
Debería ser Bearer access_key. Consulta "Tu Clave de Acceso a la API" arriba cuando estés suscrito.
|
Sin compromiso a largo plazo. Mejora, reduce o cancela en cualquier momento. La Prueba Gratuita incluye hasta 50 solicitudes.
Encuentra los puntos débiles en una Política de Seguridad de Contenidos de un sitio web que socavan la protección contra la inyección de scripts. Devuelve un informe JSON clasificado con un veredicto, una calificación y códigos de problemas estables
La Política de Seguridad de Contenidos de una página web se lee desde los encabezados de respuesta y desde las etiquetas meta en la cabecera HTML. Devuelve un veredicto un nivel de protección de scripts una calificación las políticas analizadas y los problemas codificados cada uno vinculado a la sección de Nivel 3 del W3C CSP en la que se basa
No es una evaluación estática del texto de la póliza Un informe limpio no es una garantía de seguridad y las políticas que los scripts añaden en tiempo de ejecución no se ven
Estricto significa que los scripts están protegidos por nonces o hashes permitir lista significa que solo una lista de permiso de host los protege ninguno significa que no hay protección efectiva de scripts y desconocido significa que no se pudo determinar por ejemplo porque la página devolvió un estado de error
Sí Un dominio vacío como example.com se considera como https Se aceptan alias de parámetros como u link target y site también
Sí Los resultados se almacenan en caché durante 15 minutos Agrega el parámetro fresh establecido en 1 para omitir la caché por ejemplo justo después de cambiar tu política
La API devuelve un informe JSON calificado que incluye un veredicto un nivel de protección de script una calificación y problemas detallados relacionados con la Política de Seguridad de Contenido de un sitio web También proporciona información sobre errores advertencias y las políticas evaluadas
Los campos clave en la respuesta incluyen `url`, `finalUrl`, `statusCode`, `verdict`, `scriptProtection`, `grade`, `issues` y `summary` Cada campo proporciona información específica sobre los resultados de la evaluación de CSP
La respuesta está estructurada en un formato JSON con un objeto de nivel superior que contiene campos como `url`, `statusCode` e `issues`. El campo `issues` es un arreglo que detalla problemas específicos encontrados, cada uno con severidad, código y mensaje
La API proporciona información sobre la efectividad de la Política de Seguridad de Contenido de un sitio web incluyendo la presencia de encabezados CSP niveles de protección de scripts y problemas específicos que podrían llevar a vulnerabilidades
Los usuarios pueden personalizar las solicitudes especificando la URL a evaluar También pueden usar alias de parámetros como `u` `link` o `site` para ingresar la URL de destino y el parámetro `fresh` para omitir los resultados en caché
Los casos de uso típicos incluyen evaluar la seguridad del sitio web identificar debilidades en las implementaciones de CSP y garantizar el cumplimiento de las mejores prácticas de seguridad Los desarrolladores y los equipos de seguridad pueden usar los datos para fortalecer las defensas de su sitio contra inyecciones de scripts
La precisión de los datos se mantiene mediante la adherencia a los estándares W3C CSP Nivel 3 durante la evaluación La API realiza un análisis estático del CSP asegurando que los resultados reflejen la política actual tal como se declara en los encabezados de respuesta HTTP
Los usuarios pueden esperar una estructura de respuesta consistente con campos que indican el estado de evaluación como `veredicto` y `grado` Los patrones comunes incluyen la identificación de errores como `csp_faltante` o advertencias relacionadas con configuraciones de políticas