How to build a CSP header online?

Paste your directives in any format (newline or semicolon-separated) and the tool instantly generates a valid Content-Security-Policy header.

Is CSP header building secure?

Yes, 100% client-side processing. Your policy is never uploaded to any server.

Generatore e Validatore di Intestazioni CSP

Costruisci, collauda e valida intestazioni Content-Security-Policy per proteggere i tuoi siti da attacchi XSS.

Direttive (separate da nuova riga o punto e virgola):

Header CSP:

Informazioni su Generatore e Validatore di Intestazioni CSP

Il Generatore e Validatore di Intestazioni CSP è un'applicazione orientata alla sicurezza web per elaborare e testare policy di protezione dei contenuti (CSP Livello 3). Definendo direttive puntuali per script, fogli di stile, immagini e chiamate API, aiuta gli sviluppatori a contrastare cross-site scripting (XSS), clickjacking ed esfiltrazione di informazioni.

Caratteristiche principali

Copertura integrale delle direttive: imposta default-src, script-src, style-src, img-src, connect-src e frame-ancestors
Rilevamento delle vulnerabilità: avvisa circa la presenza di direttive rischiose come 'unsafe-inline' o 'unsafe-eval' consigliando contromisure adeguate
Esportazione per Nginx, Apache e tag Meta: crea configurazioni pronte per Nginx, file .htaccess e tag HTML meta
Verifica sicura nel browser: struttura e collauda le regole sul tuo computer senza rendere nota a terzi la configurazione dei tuoi server

Come usare

Imposta le origini consentite: Indica i domini sicuri e le fonti fidate da cui è permesso caricare script, fogli di stile e connessioni API.
Controlla il giudizio di sicurezza: Verifica le segnalazioni del sistema per assicurarti di non adoperare caratteri jolly troppo estesi o costrutti deboli.
Copia l'intestazione generata: Esporta la direttiva Content-Security-Policy configurata e incollala nella configurazione del tuo server web con un clic.

FAQ

Che cos'è una Content Security Policy (CSP)?

È un'intestazione HTTP inviata dal server che specifica al browser quali risorse ha il permesso di scaricare ed eseguire, impedendo l'azione di script ostili iniettati.

Per quale motivo è preferibile evitare 'unsafe-inline' in script-src?

Abilitare 'unsafe-inline' consente l'esecuzione di codice presente direttamente nell'HTML, annullando la protezione primaria contro i vettori XSS. Si raccomanda di utilizzare hash o numeri casuali (nonce).

Qual è la differenza fra CSP e CORS?

La CSP controlla da quali origini il browser può prelevare risorse per una pagina. Il meccanismo CORS controlla se un dominio esterno ha facoltà di leggere le risposte fornite dalle API del tuo server.

Posso collaudare una policy in modalità solo report?

Sì. Adoperando l'intestazione 'Content-Security-Policy-Report-Only', le violazioni vengono registrate verso un endpoint dedicato senza impedire il caricamento delle risorse agli utenti.

Feedback o Richieste di Funzionalità?

Aiutaci a migliorare gli standard degli strumenti per sviluppatori di VelnoxLabs. Condividi il tuo feedback qui sotto!

Informazioni su Generatore e Validatore di Intestazioni CSP

Caratteristiche principali

Copertura integrale delle direttive: imposta default-src, script-src, style-src, img-src, connect-src e frame-ancestors

Rilevamento delle vulnerabilità: avvisa circa la presenza di direttive rischiose come 'unsafe-inline' o 'unsafe-eval' consigliando contromisure adeguate

Esportazione per Nginx, Apache e tag Meta: crea configurazioni pronte per Nginx, file .htaccess e tag HTML meta

Verifica sicura nel browser: struttura e collauda le regole sul tuo computer senza rendere nota a terzi la configurazione dei tuoi server