Build a Content-Security-Policy header with per-directive guidance. Hardens against XSS by default.
default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self'; connect-src 'self'; media-src 'self'; object-src 'none'; frame-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'none'
The policy is generated locally from your selections. Nothing is uploaded.
A Content-Security-Policy is a whitelist the browser enforces: scripts, styles, images, and connections may only come from origins you allow. Its headline win is XSS mitigation — even if an attacker injects a <script> tag, the browser refuses to run it unless script-src permits its origin. Use 'none' for things you truly do not need (object-src, frame-ancestors), avoid unsafe-inline in script-src if at all possible, and ship the header with report-only mode first (Content-Security-Policy-Report-Only) to catch breakage before enforcing.
The policy is metadata about your page: the browser refuses any resource outside the allow-list.
Priya ships a static marketing site with self-hosted fonts and one Google Analytics tag, and wants a tight policy.
Generate a Content-Security-Policy header online free: 12 guided directives with safe defaults and live preview. Everything runs locally; nothing is uploaded.
FreeToolHub CSP Generator is a free browser-based tool — generate a Content-Security-Policy header online free: 12 guided directives with safe defaults and live preview. No signup, no upload; everything runs locally in your browser.
Gere um cabeçalho de Content-Security-Policy gratuitamente online. Doze diretrizes guiadas com padrões seguros e explicações em português simples: default-src, script-src, style-src, img-src, font-src, connect-src e mais. Visualização ao vivo, saída pronta para copiar. 100% baseado em navegador.
A validação de entrada e a codificação de saída reduzem a chance de injeção, mas uma Content-Security-Policy limita o raio de impacto quando algo passa despercebido: um navegador que se recusa a executar scripts de origens não aprovadas não pode executar uma carga injetada. O CSP é a última linha de defesa, e custa apenas um cabeçalho.
O gerador expõe 12 diretrizes - default-src, script-src, style-src, img-src, font-src, connect-src, media-src, object-src, frame-src, frame-ancestors, base-uri e form-action - cada uma com uma explicação de uma linha sobre o que ela controla. Padrões seguros pré-carregam o formulário para que o caso comum (self em todos os lugares, nada exótico) seja um clique, e cada edição atualiza a política ao vivo.
O caminho seguro para uma política estrita é gradual. Comece no modo Apenas Relatório servindo o cabeçalho com a diretriz report-to e sem aplicação - as violações são registradas enquanto o site se comporta normalmente, e os relatórios nomeiam cada script, estilo e endpoint que a política bloquearia. Corrija o ruído do relatório: mova manipuladores inline para arquivos, adicione nonces ou hashes para os scripts que você realmente precisa, e defina as origens de terceiros que você realmente carrega. Quando os relatórios ficam silenciosos por algumas semanas, mude o cabeçalho de Content-Security-Policy-Report-Only para Content-Security-Policy e mantenha o endpoint de relatório ativo - um aumento repentino após o envio de uma nova tag de terceiro é seu sistema de alerta precoce. Este gerador produz ambas as variantes do cabeçalho para que a implantação nunca exija edição manual da política.
É um cabeçalho HTTP que diz aos navegadores exatamente de quais fontes de scripts, estilos, imagens e conexões sua página pode carregar. Qualquer coisa não na lista de permissão é bloqueada, o que é a defesa mais eficaz contra ataques de cross-site scripting (XSS).
O gerador parte de uma linha de base conservadora: default-src definido como self, scripts e estilos limitados a self mais unsafe-inline apenas onde frameworks realmente precisam, e object-src definido como none. Cada uma das 12 diretrizes vem com uma explicação em português simples para que você saiba o que está permitindo antes de permitir.
Implante-a primeiro como Content-Security-Policy-Report-Only em vez do cabeçalho de aplicação. Navegadores relatam violações no console sem bloquear nada; assim que os relatórios ficarem silenciosos, mude para o cabeçalho de aplicação.
O custo de aplicação é insignificante - o navegador verifica origens enquanto carrega recursos, adicionando microsegundos por requisição. Se algo, uma política estrita melhora o desempenho de carregamento porque bloqueia scripts de terceiros não confiáveis antes do download. O único custo real é o tempo de engenharia durante a implantação, não em tempo de execução.
report-uri é a diretriz mais antiga que POSTa JSON de violação para um único endpoint; report-to é seu sucessor, construído na Reporting API com grupos de endpoint nomeados, roteamento de entrega e melhor suporte de navegador no futuro. Este gerador emite ambos apontando para o mesmo coletor, para que navegadores mais antigos e mais novos relatem.
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.