CSP Header Generator
Build Content Security Policy headers visually — configure directives, sources, and export as HTTP header or meta tag
default-srcFallback for other directivesscript-srcJavaScript sourcesstyle-srcCSS stylesheet sourcesimg-srcImage sourcesfont-srcWeb font sourcesconnect-srcXHR, WebSocket, fetch sourcesmedia-srcAudio and video sourcesobject-srcPlugin sources (Flash, etc.)frame-srciframe sourcesworker-srcWeb Worker sourcesform-actionForm submission targetsbase-uriBase element URLsframe-ancestorsWho can embed this pageAdditional Options
Generated Policy
HTTP Header
Content-Security-Policy: default-src 'self'HTML Meta Tag
<meta http-equiv="Content-Security-Policy" content="default-src 'self'">CSP Header Generator
Build Content Security Policy headers visually — configure directives, sources, and export as HTTP header or meta tag
Features
- Візуальний конструктор для всіх основних директив CSP
- Перемикайте значення джерел одним кліком
- Додавайте користувацькі домени для кожної директиви
- Суворий пресет безпеки в один клік
- Експорт як HTTP-заголовок або HTML мета-тег
- Підтримка upgrade-insecure-requests і block-all-mixed-content
- 100% на стороні клієнта — дані не надсилаються на сервери
How to use
- Налаштуйте кожну директиву, клацаючи на значеннях джерел.
- Додайте користувацькі домени в текстове поле кожної директиви.
- Увімкніть додаткові параметри, такі як upgrade-insecure-requests.
- Скопіюйте згенерований HTTP-заголовок або мета-тег.
Tips & Best Practices
- Почніть із суворої політики та послаблюйте її за потреби.
- Завжди встановлюйте object-src у 'none', якщо вам не потрібні плагіни.
- Тестуйте вашу CSP у режимі report-only перед застосуванням.
FAQ
Що таке Content Security Policy?
CSP — це HTTP-заголовок, який допомагає запобігти XSS-атакам, контролюючи, які ресурси браузеру дозволено завантажувати для сторінки.
Що означає 'self' у CSP?
'self' дозволяє ресурси з того самого джерела (та сама схема, хост і порт), що й сама сторінка.
Чи варто використовувати upgrade-insecure-requests?
Так, якщо ваш сайт використовує HTTPS. Це вказує браузеру автоматично оновлювати HTTP-запити до HTTPS.