{
"url": "https://example.com/",
"finalUrl": "https://example.com/",
"statusCode": 200,
"enforced": false,
"verdict": "no_csp",
"scriptProtection": "none",
"grade": "F",
"score": 40,
"summary": {
"errors": 1,
"warnings": 0,
"infos": 0
},
"policies": [],
"issues": [
{
"severity": "error",
"code": "csp_missing",
"message": "No Content-Security-Policy header and no <meta http-equiv=\"Content-Security-Policy\"> tag was found, so the browser applies no CSP and nothing limits where scripts load from. Basis: W3C Content Security Policy Level 3, \"Content-Security-Policy header\".",
"docs": "https://www.w3.org/TR/CSP3/#csp-header"
}
],
"metaPolicies": 0,
"cached": false,
"checkedAt": "2026-10-21T15:38:39.223Z",
"note": "Evaluates the Content Security Policy that the page declares in its HTTP response headers (Content-Security-Policy and Content-Security-Policy-Report-Only) and in <meta http-equiv> tags in the HTML head, using the W3C Content Security Policy Level 3 rules. The page is fetched with this API's own user agent, so a site that serves different headers to other clients can look different to real browsers. Policies set by scripts at runtime are not seen. Findings are static analysis of the policy text: they do not prove that a page is exploitable or safe, and a clean report is not a security guarantee."
}
curl --location --request GET 'https://zylalabs.com/api/14379/csp+evaluator+api/36041/evaluate+the+content+security+policy+of+a+website?url=https://example.com' --header 'Authorization: Bearer YOUR_API_KEY'
Após se cadastrar, cada desenvolvedor recebe uma chave de acesso à API pessoal, uma combinação única de letras e dígitos para acessar nosso endpoint de API. Para autenticar com a Avaliador CSP API basta incluir seu token Bearer no cabeçalho Authorization.
| Cabeçalho | Descrição |
|---|---|
Authorization
|
Obrigatório
Deve ser Bearer access_key. Veja "Sua chave de acesso à API" acima quando você estiver inscrito.
|
Sem compromisso de longo prazo. Faça upgrade, downgrade ou cancele a qualquer momento. O teste gratuito inclui até 50 requisições.
Encontra os pontos fracos em uma Política de Segurança de Conteúdo de um site que underminem a proteção contra injeção de scripts Retorna um relatório JSON classificado com um veredicto nota e códigos de problemas estáveis
A Política de Segurança de Conteúdo de uma página da web, lida a partir dos cabeçalhos de resposta e das meta tags no cabeçalho HTML. Ela retorna um veredito, um nível de proteção de script, uma nota, as políticas analisadas e os problemas codificados, cada um ligado à seção do W3C CSP Nível 3 na qual se baseia
Não É uma avaliação estática do texto da política Um relatório limpo não é uma garantia de segurança e as políticas que scripts adicionam em tempo de execução não são vistas
Estrito significa que os scripts são protegidos por nonces ou hashes lista de permissão significa que apenas uma lista de permissão de host os protege nenhum significa nenhuma proteção eficaz de script e desconhecido significa que não foi possível determinar por exemplo porque a página retornou um status de erro
Sim Um domínio nu como example.com é tratado como https Aliases de parâmetro como u link target e site também são aceitos
Sim Os resultados são armazenados em cache por 15 minutos Adicione o parâmetro fresh definido como 1 para ignorar o cache por exemplo logo após mudar sua política