Gerador e Analisador de CSP

Entenda como uma boa Content-Security-Policy reduz o risco de XSS e injeção de conteúdo.

Content-Security-Policy é um header HTTP que diz ao navegador de onde scripts, estilos, imagens e outros recursos podem ser carregados. Bem configurada, ela mitiga ataques como XSS e injeção de conteúdo. O problema é que valores como 'unsafe-inline', 'unsafe-eval' e curingas anulam boa parte dessa proteção, e diretivas de bloqueio como object-src, base-uri e frame-ancestors costumam ser esquecidas. Esta ferramenta analisa uma política colada, aponta essas fraquezas com nível de severidade e ajuda a montar uma política a partir de um formulário, tudo localmente.

Como revisar e endurecer sua política.

1. Cole a CSP atual no modo Analisar ou preencha as diretivas no modo Montar.
2. Leia os pontos de atenção por severidade e os pontos fortes já presentes.
3. Ajuste as diretivas, prefira nonce/hash a 'unsafe-inline' e copie a política final.

Use esta ferramenta no seu site

<iframe
  src="https://jkit.tools/embed/pt-BR/gerador-csp"
  width="100%"
  height="600"
  style="border:0"
  loading="lazy"
  title="Gerador e Analisador de CSP"
></iframe>

Fontes e referências desta ferramenta

Estas referências ajudam a contextualizar fórmulas, padrões, APIs e limitações usadas nesta página. Elas não substituem validação profissional quando o resultado tiver impacto jurídico, financeiro, médico ou operacional.

• Content Security Policy Level 3W3C, Especificação atual das diretivas de CSP.
• Content-Security-PolicyMDN Web Docs, Referência prática das diretivas de CSP.
• OWASP Content Security Policy Cheat SheetOWASP, Boas práticas e armadilhas comuns de CSP.

Perguntas frequentes

Continue daqui