How to build a CSP header online?

Paste your directives in any format (newline or semicolon-separated) and the tool instantly generates a valid Content-Security-Policy header.

Is CSP header building secure?

Yes, 100% client-side processing. Your policy is never uploaded to any server.

Конструктор и валидатор заголовков CSP

Создавайте, тестируйте и проверяйте HTTP-заголовки Content-Security-Policy для защиты сайта от атак XSS.

Директивы (через перенос строки или точку с запятой):

Заголовок CSP:

О Конструктор и валидатор заголовков CSP

Конструктор и валидатор заголовков CSP — инструмент веб-безопасности для проектирования политик защиты контента (CSP Level 3). Настраивая разрешения для скриптов, стилей, медиафайлов и сетевых подключений, он помогает разработчикам предотвращать XSS-инъекции, кликджекинг и утечку данных.

Ключевые особенности

Полный охват директив безопасности: настройка default-src, script-src, style-src, img-src, connect-src и frame-ancestors
Автоматический аудит рисков: предупреждает об опасных ключевых словах вроде 'unsafe-inline' и дает советы по усилению защиты
Экспорт для Nginx, Apache и Meta: генерирует готовые правила для конфигураций Nginx, .htaccess и тегов HTML
Безопасная локальная проверка: создавайте и проверяйте политики в браузере без раскрытия внутренней архитектуры серверов

Инструкция по использованию

Укажите доверенные источники: Задайте разрешенные домены и протоколы для скриптов, стилей и API-запросов.
Оцените уровень безопасности: Проверьте предупреждения аудита, чтобы убедиться в отсутствии избыточно широких масок или уязвимых директив.
Скопируйте заголовок: Экспортируйте готовую строку Content-Security-Policy для вашего веб-сервера одним нажатием.

Часто задаваемые вопросы

Что такое Content Security Policy (CSP)?

CSP — это HTTP-заголовок, указывающий браузеру доверенные источники для загрузки и выполнения ресурсов, нейтрализуя угрозу внедрения XSS-скриптов.

Почему следует избегать 'unsafe-inline' в script-src?

Разрешение 'unsafe-inline' позволяет исполняться внедренным встроенным скриптам, нивелируя защиту от XSS. Рекомендуется использовать одноразовые токены (nonce) или хэши.

В чем разница между CSP и CORS?

CSP определяет, откуда страница вашего сайта может загружать ресурсы. CORS регулирует, могут ли сторонние сайты читать ответы API вашего сервера.

Можно ли протестировать политику в режиме только отчетов?

Да. Заголовок 'Content-Security-Policy-Report-Only' позволяет собирать отчеты о нарушениях без блокировки отображения страниц пользователям.

Отзывы и предложения функций

Помогите нам улучшить инструменты VelnoxLabs. Поделитесь своим мнением ниже!

О Конструктор и валидатор заголовков CSP

Ключевые особенности

Полный охват директив безопасности: настройка default-src, script-src, style-src, img-src, connect-src и frame-ancestors

Автоматический аудит рисков: предупреждает об опасных ключевых словах вроде 'unsafe-inline' и дает советы по усилению защиты

Экспорт для Nginx, Apache и Meta: генерирует готовые правила для конфигураций Nginx, .htaccess и тегов HTML

Безопасная локальная проверка: создавайте и проверяйте политики в браузере без раскрытия внутренней архитектуры серверов

Инструкция по использованию

Укажите доверенные источники: Задайте разрешенные домены и протоколы для скриптов, стилей и API-запросов.

Оцените уровень безопасности: Проверьте предупреждения аудита, чтобы убедиться в отсутствии избыточно широких масок или уязвимых директив.

Скопируйте заголовок: Экспортируйте готовую строку Content-Security-Policy для вашего веб-сервера одним нажатием.

Часто задаваемые вопросы