Constructor de CSP
Construye una cabecera Content-Security-Policy directiva por directiva, o pega la que ya tienes y recibe avisos sobre los ajustes que la debilitan.
Se ejecuta en tu navegador: no se sube nada.
Comprobar una política existente
Pega el valor de la cabecera, o la línea completa «Content-Security-Policy: …».
Directivas
Carga los recursos http:// por https://.
Cómo se usa
- Parte de la política estricta ya cargada, o pega tu política actual y pulsa «Cargar política».
- En cada directiva marca las palabras clave que necesites y añade hosts en el campo de abajo (por ejemplo https://cdn.example.com).
- Corrige los avisos de la derecha, elige el formato (cabecera, nginx, Apache, etiqueta meta, Laravel) y copia el resultado.
- Prueba primero en modo «Report-Only»: el navegador registra las infracciones sin bloquear nada.
Preguntas frecuentes
¿Se sube mi política?
No. La política se construye y se comprueba en tu navegador.
¿Por qué «unsafe-inline» es un problema?
Permite ejecutar cualquier script en línea, justo lo que una CSP intenta evitar. Usa un nonce o un hash para los scripts que necesites. Un navegador que ve un nonce o un hash ignora «unsafe-inline», así que mantenerlo solo es inocuo para navegadores antiguos.
¿Qué hacen object-src y base-uri?
object-src 'none' bloquea plugins como Flash o applets de Java, que pueden ejecutar script desde otro origen. base-uri 'self' impide que quien pueda inyectar una etiqueta <base> cambie hacia dónde apuntan las URL relativas. Las políticas que solo definen script-src dejan ambas abiertas.
¿Qué hace default-src?
Es el valor de reserva de toda directiva de carga que no definas (imágenes, fuentes, conexiones, workers…). frame-ancestors, base-uri y form-action no lo usan como reserva.
¿Puedo usar una etiqueta meta?
Sí, pero una etiqueta meta no puede definir frame-ancestors, report-uri ni sandbox, y solo se aplica desde el punto donde aparece. Es mejor la cabecera HTTP.
¿Garantiza esta herramienta que mi sitio es seguro?
No. Señala ajustes débiles habituales, pero no prueba tu sitio. Prueba la política en modo Report-Only y revisa la consola del navegador antes de aplicarla.