Doložená přítomnost ve způsobilém vzorku
V měření z 3. srpna 2026 je CSP zachycena u 64 z 242 způsobilých
webů, tedy 26,4 procenta. Podklad tvoří položka
headers.present.Content-Security-Policy v publikované datové příloze. Jednotkou je
vyhodnotitelný webový záznam této vlny, nikoli jednotlivý návštěvník nebo
počet všech odpovědí aplikace.
Co hlavička představuje
CSP je mechanismus, kterým stránka vymezuje povolené zdroje a některé činnosti prohlížeče. Jednotlivé části mohou řešit skripty, síťová spojení nebo vložení stránky do rámu. Samostatná hlavička Content-Security-Policy-Report-Only slouží k hlášení, nikoli ke stejnému vynucení jako Content-Security-Policy. Rozlišení popisuje pracovní specifikace W3C.
Pro výzkum z toho plyne konkrétní otázka: byl zachycen název zásady, její obsah, nebo také chování prohlížeče? Zdejší binární registr dokládá první z těchto vrstev. Přísnost jednotlivých pravidel ani skutečně zablokované činnosti samostatně nevyčísluje.
Co z přítomnosti nevyplývá
Zaznamenaná CSP není důkazem, že stránka odmítá každý cizí skript. Zásada může být zaměřená jen na část chování. Bez uchované hodnoty nelze doplnit, které zdroje povoluje a zda její pravidla odpovídají zamýšlené aplikaci. Údaj o přítomnosti je proto vhodný pro popis nasazení, nikoli pro pořadí webů podle odolnosti.
Stejná hranice platí opačným směrem. Nezachycená hlavička v měřené odpovědi neprokazuje napadení, nezjišťuje chybu v ověřování vstupu a nevylučuje jiné ochrany. Výsledek se navíc vztahuje k pozorované úvodní stránce. Z její hlavičky nelze bez dalšího vytvořit závěr o účtech, formulářích nebo všech dalších adresách aplikace.
Budoucí obsahový rozbor by měl oddělit pravidla pro skripty, spojení, rámování a další konkrétní oblasti. Každé tvrzení potřebuje vlastní definici a jmenovatel s použitelným obsahem zásady. Jeden společný bod za CSP tyto otázky nedokáže vyřešit.
Podrobnější otázka potřebuje další ověření
Nejprve by se uchovala přesná hodnota vynucované zásady a zvlášť případná hlásicí zásada. Kontrolor by porovnal přijatou hodnotu s pravidlem, podle kterého byl vytvořen původní příznak. Neshoda by měla vlastní záznam, aby se neztratila ve výsledném součtu hlaviček.
Teprve samostatný, předem vymezený scénář v prohlížeči by mohl prověřit konkrétní povolenou nebo odmítnutou činnost. Úspěšný průchod běžnou stránkou není zkouškou všech pravidel. Nález z jiného scénáře se nemá zpětně připsat tomuto srpnovému měření. Praktickým výstupem další kontroly by byl doložený obsah zásady, popis testovaného scénáře a jasná hranice toho, co zůstalo neověřené.
Provozovatel, který chce navazující zjištění použít, by měl dostat přesnou otázku: která činnost má být omezena a kde je omezení doloženo. Odpověď v podobě jediného bezpečnostního bodu není pro tuto práci dostatečná. Kontrolní výstup by měl uvést konkrétní pravidlo, pozorovaný scénář a zachovaný podklad. Pokud se pravidlo při návštěvě vůbec neuplatnilo, má to být zapsané, aby se absence zaznamenané chyby nevykládala jako potvrzení správného vynucení.
Jak zachovat srovnatelný podklad
Publikovaná příloha vymezuje stejnou prohlížečově způsobilou podmnožinu jako navazující studie souhlasu. Odpovědi mimo tuto podmnožinu se do četností hlaviček nezahrnují. Nedostupný nebo nevyhodnotitelný záznam proto není součástí skupiny bez hlavičky. Výsledný podíl se vztahuje ke způsobilým stránkám, nikoli ke všem původně uvažovaným webům nebo ke všem českým organizacím.
Při opakování je potřeba uchovat původní a konečnou adresu, cestu přesměrování,
čas zachycení a přesné hlavičky odpovědi. K tomu patří verze prohlížeče,
programu a rozpoznávacích pravidel. Konečná odpověď na GET má být odlišená
od případného HEAD a od mezilehlých odpovědí. Bez zachovaného podkladu nelze
rozdíl připsat webu jen podle rozdílu hotových tabulek.
Opakované měření v čase dále potřebuje potvrzené přiřazení stejné cílové stránky a stejné definice veličiny. Novější samostatná sada není automaticky pokračováním téhož panelu. Pravidlo opakování chybového běhu má vzniknout před sběrem, aby se nevybíral jen příznivý výsledek. Časový limit a ochranná výzva musí zůstat přiznanými mezemi.
Datová příloha a hranice zveřejnění
Číslo v tomto článku vychází výhradně z níže uvedené položky aktuálního publikačního registru. Den měření je 3. srpna 2026. Den vytvoření opravené přílohy nebo den vydání textu není novým dnem pozorování webu.
Veřejné agregace jsou dostupné jako JSON a obsahově shodný export CSV. Počty se nepřevádějí na současný stav jednotlivých provozovatelů. Článek nezveřejňuje identity, jednotlivé odpovědi ani malé průniky dalších měření. Příležitostný výběr není náhodný ani reprezentativní; závěr popisuje pouze zdejší způsobilý soubor. Nové podrobnější ověření by potřebovalo samostatné podklady a vlastní bezpečný veřejný výstup.