Generador CSP

Generar encabezados de política de seguridad de contenido

Preset

default-src

Fallback for other directives

script-src

Valid sources for JavaScript

style-src

Valid sources for stylesheets

img-src

Valid sources for images

font-src

Valid sources for fonts

connect-src

Valid sources for fetch, XHR, WebSocket

media-src

Valid sources for audio and video

object-src

Valid sources for plugins

frame-src

Valid sources for iframes

frame-ancestors

Valid parents that can embed this page

base-uri

Valid URLs for <base> element

form-action

Valid targets for form submissions

Security Issues

• Warning: 'unsafe-inline' in script-src weakens XSS protection

Salida

Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self'; frame-ancestors 'self'

Metaetiqueta

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self'; frame-ancestors 'self'">

Report-Only Header (for testing)

Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self'; frame-ancestors 'self'

Cómo usar Generador CSP

1Introduce las directivas que planeas permitir (default-src, script-src, img-src, etc.).
2Introduce los dominios o esquemas de confianza como fuentes.
3Lee la cabecera Content-Security-Policy generada para pegarla en tu config del servidor.

Crear una Content Security Policy

CSP = directiva1 valor1 valor2; directiva2 valor3; ...

Una CSP permite solo de dónde el navegador puede cargar scripts, estilos, imágenes y conexiones, bloqueando la inyección de contenido no autorizado aunque exista XSS.

Empieza en modo report-only para registrar violaciones antes de forzar; si no, una política muy estricta puede romper recursos legítimos.

Preguntas frecuentes

¿Qué hace default-src?

Fija el respaldo para cualquier directiva no especificada; 'self' allí cubre la mayoría de etiquetas.

¿Debo usar report-only primero?

Sí, monitoriza las violaciones reportadas para ajustar la política sin romper el sitio.

¿Detiene CSP todo XSS?

Reduce drásticamente el impacto, pero es defensa en profundidad, no sustituye la sanitización de entradas.

Generador CSP

Cómo usar Generador CSP

Crear una Content Security Policy

Preguntas frecuentes

Más herramientas

Codificador de URL

Generador CSP

Comprobador de redireccionamiento

Comprobador de registros SPF