Build a Content-Security-Policy header with per-directive guidance. Hardens against XSS by default.
default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self'; connect-src 'self'; media-src 'self'; object-src 'none'; frame-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'none'
The policy is generated locally from your selections. Nothing is uploaded.
A Content-Security-Policy is a whitelist the browser enforces: scripts, styles, images, and connections may only come from origins you allow. Its headline win is XSS mitigation — even if an attacker injects a <script> tag, the browser refuses to run it unless script-src permits its origin. Use 'none' for things you truly do not need (object-src, frame-ancestors), avoid unsafe-inline in script-src if at all possible, and ship the header with report-only mode first (Content-Security-Policy-Report-Only) to catch breakage before enforcing.
The policy is metadata about your page: the browser refuses any resource outside the allow-list.
Priya ships a static marketing site with self-hosted fonts and one Google Analytics tag, and wants a tight policy.
Generate a Content-Security-Policy header online free: 12 guided directives with safe defaults and live preview. Everything runs locally; nothing is uploaded.
FreeToolHub CSP Generator is a free browser-based tool — generate a Content-Security-Policy header online free: 12 guided directives with safe defaults and live preview. No signup, no upload; everything runs locally in your browser.
Generieren Sie kostenlos einen Content-Security-Policy-Header online. Zwölf geführte Direktiven mit sicheren Standardeinstellungen und einfachen englischen Erklärungen: default-src, script-src, style-src, img-src, font-src, connect-src und mehr. Live-Vorschau, kopierfertige Ausgabe. 100 % browserbasiert.
Die Eingabevalidierung und die Ausgabekodierung verringern die Wahrscheinlichkeit von Injektionen, aber eine Content-Security-Policy begrenzt den Schadensradius, wenn etwas durchrutscht: Ein Browser, der Skripte von nicht genehmigten Quellen nicht ausführt, kann einen injizierten Payload nicht ausführen. CSP ist die letzte Verteidigungslinie, und sie kostet nur einen Header.
Der Generator bietet 12 Direktiven - default-src, script-src, style-src, img-src, font-src, connect-src, media-src, object-src, frame-src, frame-ancestors, base-uri und form-action - jeweils mit einer Zeilen-Erklärung, was sie steuern. Sichere Standardeinstellungen füllen das Formular vorab, sodass der häufigste Fall (selbst überall, nichts Exotisches) nur einen Klick erfordert, und jede Bearbeitung aktualisiert die Richtlinie live.
Der sichere Weg zu einer strengen Richtlinie ist schrittweise. Beginnen Sie im Report-Only-Modus, indem Sie den Header mit der report-to-Direktive ohne Enforcement bereitstellen - Verstöße werden protokolliert, während die Seite normal funktioniert, und die Berichte nennen jedes Skript, jede Stylesheet und jeden Endpunkt, den die Richtlinie blockieren würde. Beheben Sie den Berichtslärm: Verschieben Sie Inline-Handler in Dateien, fügen Sie Nonces oder Hashes für die Skripte hinzu, die Sie wirklich benötigen, und fixieren Sie die Drittanbieter-Quellen, die Sie tatsächlich laden. Wenn die Berichte für ein paar Wochen ruhig sind, wechseln Sie den Header von Content-Security-Policy-Report-Only zu Content-Security-Policy und halten Sie den Endpunkt für Berichte aktiv - ein plötzlicher Anstieg nach dem Versand eines neuen Drittanbieter-Tags ist Ihr Frühwarnsystem. Dieser Generator erzeugt beide Varianten des Headers, sodass der Rollout nie manuelles Bearbeiten der Richtlinie erfordert.
Es ist ein HTTP-Header, der Browsern genau mitteilt, aus welchen Quellen von Skripten, Stylesheets, Bildern und Verbindungen Ihre Seite laden darf. Alles, was nicht auf der Erlaubnisliste steht, wird blockiert, was die wirksamste Verteidigung gegen Cross-Site-Scripting (XSS)-Angriffe ist.
Der Generator startet von einer konservativen Basis: default-src auf self gesetzt, Skripte und Stylesheets auf self plus unsafe-inline beschränkt, nur wo Frameworks es wirklich benötigen, und object-src auf none gesetzt. Jede der 12 Direktiven wird mit einer einfachen englischen Erklärung geliefert, sodass Sie wissen, was Sie erlauben, bevor Sie es erlauben.
Stellen Sie sie zuerst als Content-Security-Policy-Report-Only anstelle des erzwungenen Headers bereit. Browser melden Verstöße an die Konsole, ohne etwas zu blockieren; sobald die Berichte ruhig sind, wechseln Sie zum erzwungenen Header.
Die Durchsetzungskosten sind vernachlässigbar - der Browser prüft Ursprünge, während Ressourcen geladen werden, und fügt Mikrosekunden pro Anfrage hinzu. Wenn überhaupt, verbessert eine strenge Richtlinie die Ladeleistung, da sie nicht vertrauenswürdige Drittpartyskripte blockiert, bevor sie heruntergeladen werden. Die eine echte Kosten ist die Engineering-Zeit während des Rollouts, nicht die Laufzeit.
report-uri ist die ältere Direktive, die Verletzungs-JSON an einen einzelnen Endpunkt POSTet; report-to ist ihr Nachfolger, der auf dem Reporting API mit benannten Endpunktgruppen, Liefer-Routing und besserer Browser-Unterstützung für die Zukunft aufbaut. Dieser Generator erzeugt beide, die auf denselben Sammler zeigen, sodass ältere und neuere Browser beide melden.
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.