Gerador de Cabeçalhos CSP
Crie cabeçalhos de Content Security Policy visualmente — configure diretivas, fontes e exporte como cabeçalho HTTP ou meta tag
default-srcFallback for other directivesscript-srcJavaScript sourcesstyle-srcCSS stylesheet sourcesimg-srcImage sourcesfont-srcWeb font sourcesconnect-srcXHR, WebSocket, fetch sourcesmedia-srcAudio and video sourcesobject-srcPlugin sources (Flash, etc.)frame-srciframe sourcesworker-srcWeb Worker sourcesform-actionForm submission targetsbase-uriBase element URLsframe-ancestorsWho can embed this pageOpções adicionais
Política gerada
Cabeçalho HTTP
Content-Security-Policy: default-src 'self'Meta Tag HTML
<meta http-equiv="Content-Security-Policy" content="default-src 'self'">Gerador de Cabeçalhos CSP
Crie cabeçalhos de Content Security Policy visualmente — configure diretivas, fontes e exporte como cabeçalho HTTP ou meta tag
Recursos
- Construtor visual para todas as principais diretivas CSP
- Alterne valores de origem com um clique
- Adicione domínios personalizados por diretiva
- Predefinição de segurança rigorosa com um clique
- Exporte como cabeçalho HTTP ou meta tag HTML
- Suporte a upgrade-insecure-requests e block-all-mixed-content
- 100% no lado do cliente — nenhum dado é enviado aos servidores
Como usar
- Configure cada diretiva clicando nos valores de origem.
- Adicione domínios personalizados no campo de texto de cada diretiva.
- Ative opções adicionais como upgrade-insecure-requests.
- Copie o cabeçalho HTTP ou a meta tag gerada.
Dicas e Melhores Práticas
- Comece com uma política rigorosa e relaxe conforme necessário.
- Sempre defina object-src como 'none' a menos que você precise de plugins.
- Teste sua CSP no modo report-only antes de aplicá-la.
Perguntas Frequentes
O que é Content Security Policy?
CSP é um cabeçalho HTTP que ajuda a prevenir ataques XSS controlando quais recursos um navegador pode carregar para uma página.
O que significa 'self' no CSP?
'self' permite recursos da mesma origem (mesmo esquema, host e porta) que a própria página.
Devo usar upgrade-insecure-requests?
Sim, se o seu site usa HTTPS. Instrui o navegador a atualizar automaticamente as requisições HTTP para HTTPS.