Ir para o conteúdo

Gerador de Content-Security-Policy

Monte o cabeçalho Content-Security-Policy a partir de um ponto de partida editável, com modo somente relatório.

  • Roda no seu navegador

Entrada

Modo

Fonte de default-src

0 de 500 caracteres

Nomes de host separados por vírgula, sem esquema, porta nem caminho (até 10). Não vale com a fonte none.

Fonte de script-src

0 de 500 caracteres

Nomes de host separados por vírgula, sem esquema, porta nem caminho (até 10). Não vale com a fonte none.

Fonte de style-src

0 de 500 caracteres

Nomes de host separados por vírgula, sem esquema, porta nem caminho (até 10). Não vale com a fonte none.

Fonte de img-src

0 de 500 caracteres

Nomes de host separados por vírgula, sem esquema, porta nem caminho (até 10). Não vale com a fonte none.

Fonte de connect-src

0 de 500 caracteres

Nomes de host separados por vírgula, sem esquema, porta nem caminho (até 10). Não vale com a fonte none.

Quem pode incorporar a página (frame-ancestors)

0 de 500 caracteres

Mesmo formato dos hosts acima.

Destino dos formulários (form-action)

Elemento base (base-uri)

Resultado

O resultado aparece aqui.

Ponto de partida editável

Os valores iniciais seguem o exemplo-base do guia de CSP da OWASP. São um ponto de partida para você editar e testar, não uma política segura ou recomendada para o seu site.

EscolhasSaída
valores iniciais (somente relatório)Content-Security-Policy-Report-Only: default-src 'self'; frame-ancestors 'self'; form-action 'self'; object-src 'none'; base-uri 'none'
mesmos valores, aplicando a políticaContent-Security-Policy: default-src 'self'; frame-ancestors 'self'; form-action 'self'; object-src 'none'; base-uri 'none'
sem iframes e sem base-uridefault-src 'self'; frame-ancestors 'none'; form-action 'self'; object-src 'none'

O que a ferramenta faz e não faz

  • Cada diretiva aceita self, none, a palavra-chave de esquema seguro e até 10 hosts, que saem com esquema seguro. None não combina com hosts.
  • Nunca gera unsafe-inline, unsafe-eval, nonce nem hash: com a política inicial, scripts e estilos inline são bloqueados.
  • Gera só o cabeçalho HTTP. Não gera a tag meta, não gera report-uri nem report-to e não testa a política no seu site.

Como adotar

Comece no modo somente relatório, observe o que seria bloqueado no console do navegador, ajuste as fontes e só então mude para aplicar. O CSP reduz o risco de certos ataques; não garante que o site esteja seguro.

Perguntas frequentes

O que é Content Security Policy?

É um cabeçalho HTTP que diz ao navegador de quais origens a página pode carregar scripts, estilos, imagens e outros recursos. O padrão é um rascunho de trabalho do W3C.

O que é content security policy report only?

É o cabeçalho que só relata violações sem bloquear nada, útil para testar antes de aplicar. Com os valores iniciais: Content-Security-Policy-Report-Only: default-src 'self'; frame-ancestors 'self'; form-action 'self'; object-src 'none'; base-uri 'none'

Na mesma bancada