CSP Header Generator
Build Content Security Policy headers visually — configure directives, sources, and export as HTTP header or meta tag
default-srcFallback for other directivesscript-srcJavaScript sourcesstyle-srcCSS stylesheet sourcesimg-srcImage sourcesfont-srcWeb font sourcesconnect-srcXHR, WebSocket, fetch sourcesmedia-srcAudio and video sourcesobject-srcPlugin sources (Flash, etc.)frame-srciframe sourcesworker-srcWeb Worker sourcesform-actionForm submission targetsbase-uriBase element URLsframe-ancestorsWho can embed this pageAdditional Options
Generated Policy
HTTP Header
Content-Security-Policy: default-src 'self'HTML Meta Tag
<meta http-equiv="Content-Security-Policy" content="default-src 'self'">CSP Header Generator
Build Content Security Policy headers visually — configure directives, sources, and export as HTTP header or meta tag
Features
- Construtor visual para todas as principais diretivas CSP
- Alterne valores de origem com um clique
- Adicione domínios personalizados por diretiva
- Predefinição de segurança rigorosa com um clique
- Exporte como cabeçalho HTTP ou meta tag HTML
- Suporte a upgrade-insecure-requests e block-all-mixed-content
- 100% no lado do cliente — nenhum dado é enviado aos servidores
How to use
- Configure cada diretiva clicando nos valores de origem.
- Adicione domínios personalizados no campo de texto de cada diretiva.
- Ative opções adicionais como upgrade-insecure-requests.
- Copie o cabeçalho HTTP ou a meta tag gerada.
Tips & Best Practices
- Comece com uma política rigorosa e relaxe conforme necessário.
- Sempre defina object-src como 'none' a menos que você precise de plugins.
- Teste sua CSP no modo report-only antes de aplicá-la.
FAQ
O que é Content Security Policy?
CSP é um cabeçalho HTTP que ajuda a prevenir ataques XSS controlando quais recursos um navegador pode carregar para uma página.
O que significa 'self' no CSP?
'self' permite recursos da mesma origem (mesmo esquema, host e porta) que a própria página.
Devo usar upgrade-insecure-requests?
Sim, se o seu site usa HTTPS. Instrui o navegador a atualizar automaticamente as requisições HTTP para HTTPS.