Comment utiliser : Générateur CSP
- Cochez les services utilisés par votre site (analytics, polices, vidéos intégrées, paiements). Leurs hôtes sont ajoutés aux bonnes directives.
- Ajustez une directive si besoin, par exemple en ajoutant votre propre CDN à
script-srcouimg-src. - Commencez par le mode Report-only sur un site en production : le navigateur consigne les violations sans rien bloquer.
- Copiez la politique sous forme d’en-tête, de balise meta ou de configuration serveur, déployez-la, puis vérifiez la console du navigateur pour repérer les ressources bloquées.
Ce que fait une Content Security Policy
Une Content-Security-Policy (CSP) indique au navigateur depuis quelles sources une page peut charger scripts, styles, images, polices, frames et connexions. Si un attaquant injecte un <script> (cross-site scripting), le navigateur refuse de l’exécuter, car sa source n’est pas autorisée. C’est l’une des défenses les plus efficaces contre les XSS et le vol de données.
Directives principales
| Directive | Contrôle |
|---|---|
default-src | Valeur de repli pour chaque type de ressource non listé |
script-src | JavaScript — la directive la plus importante |
style-src, img-src, font-src | CSS, images et polices web |
connect-src | fetch, XHR, WebSocket et balises de suivi analytics |
frame-src / frame-ancestors | Quels iframes vous intégrez / qui peut intégrer votre page (clickjacking) |
object-src 'none', base-uri 'self' | Ferment deux contournements XSS classiques — à toujours définir |
Déploiement en toute sécurité
Déployez d’abord avec Content-Security-Policy-Report-Only et surveillez la console du navigateur (ou un endpoint report-to) pendant quelques jours. Corrigez ce qui casse, puis passez à l’en-tête bloquant. Évitez 'unsafe-inline' et 'unsafe-eval' dans script-src ; utilisez des nonces ou des hashes pour les rares scripts inline nécessaires.
Vérifiez un site en production avec le Security Headers Checker.
Aussi recherché comme : générateur content security policy, en-tête csp, content-security-policy generator, csp nginx, balise meta csp, csp google analytics, csp report-only, script-src.
Outils complémentaires : Générateur CSP
- Générateur .htaccess — Cochez les règles dont vous avez besoin (HTTPS, hôte canonique, redirections, compression, cache, en-têtes de sécurité, fichiers protégés) et obtenez un fichier .htaccess propre et commenté.
- Générateur de configuration Nginx — Choisissez ce que Nginx doit faire — servir un site statique ou une application SPA, agir en tant que proxy vers une application Node/Python, ou exécuter du code PHP — et cochez les options supplémentaires.
- Vérificateur d'en-têtes HTTP — Saisissez une URL et découvrez exactement ce que le serveur renvoie : code de statut, chaîne de redirections et chaque en-tête de réponse, avec une explication claire de ceux qui comptent pour le SEO, le cache et la sécurité.
- Générateur security.txt — Renseignez quelques champs pour générer un fichier /.well-known/security.txt conforme aux standards, qui indique aux chercheurs comment vous signaler un problème de sécurité.
Questions fréquentes
Comment ajouter une Content Security Policy à mon site ?
Envoyez-la comme en-tête de réponse HTTP (la meilleure solution) via la configuration de votre serveur ou de votre hébergeur — des extraits pour nginx, Apache, Vercel et Netlify sont générés ici — ou ajoutez-la sous forme de balise meta dans le head de la page.
Quelle est la différence entre Content-Security-Policy et Report-Only ?
L’en-tête classique bloque tout ce qui n’est pas autorisé. Report-Only ne bloque rien et signale seulement les violations, ce qui permet de tester une politique sur un site en production sans risque.
Pourquoi ma CSP bloque-t-elle Google Analytics ?
GA a besoin de ses hôtes dans script-src, img-src et connect-src (googletagmanager.com et google-analytics.com, ainsi que des endpoints régionaux). Cochez Google Analytics ci-dessus pour les ajouter tous.
Puis-je utiliser frame-ancestors dans une balise meta ?
Non. frame-ancestors, report-uri et sandbox ne fonctionnent que dans l’en-tête HTTP ; les navigateurs les ignorent dans une balise meta.
Puis-je installer Générateur CSP en tant qu’application web et l’utiliser hors ligne ?
Oui. Générateur CSP est une application web installable (PWA) : elle s’installe depuis votre navigateur, sans passer par une boutique d’applications. Cliquez sur « Installer l’application » en haut de cette page dans Chrome ou Edge (Windows, macOS, Linux, ChromeOS) ; sur Android, utilisez « Partager » → « Ajouter à l’écran d’accueil » sur iPhone et iPad ; ou « Fichier » → « Ajouter au Dock » dans Safari 17+ sur Mac. L’application s’ouvre alors dans sa propre fenêtre avec sa propre icône, et comme elle s’exécute entièrement dans votre navigateur, elle continue de fonctionner hors ligne. Firefox sur ordinateur de bureau ne permet pas d’installer d’applications web. Comment fonctionne l’installation.