Cara menggunakan CSP Generator
- Centang layanan yang dipakai situsmu (analytics, font, embed video, pembayaran). Host-nya otomatis ditambahkan ke direktif yang sesuai.
- Sesuaikan direktif sesuai kebutuhan, misalnya tambahkan CDN sendiri ke
script-srcatauimg-src. - Mulai dengan Report-only di situs yang sudah live: browser hanya mencatat pelanggaran tanpa memblokir apa pun.
- Salin policy sebagai header, meta tag, atau config server, terapkan, lalu cek console browser untuk resource yang diblokir.
Apa itu Content Security Policy
A Content-Security-Policy (CSP) memberi tahu browser dari sumber mana saja sebuah halaman boleh memuat script, style, gambar, font, frame, dan koneksi. Jika penyerang menyisipkan <script> (cross-site scripting), browser menolak menjalankannya karena sumbernya tidak diizinkan. Ini salah satu pertahanan paling efektif terhadap XSS dan pencurian data.
Direktif utama
| Direktif | Mengatur |
|---|---|
default-src | Fallback untuk setiap jenis resource yang tidak kamu tulis |
script-src | JavaScript — yang paling penting |
style-src, img-src, font-src | CSS, gambar, dan web font |
connect-src | fetch, XHR, WebSocket, dan beacon analytics |
frame-src / frame-ancestors | Iframe mana yang kamu embed / siapa yang boleh meng-embed halamanmu (clickjacking) |
object-src 'none', base-uri 'self' | Menutup dua celah XSS klasik — selalu atur keduanya |
Menerapkannya dengan aman
Terapkan dulu Content-Security-Policy-Report-Only dan pantau console browser (atau endpoint report-to) selama beberapa hari. Perbaiki yang rusak, lalu pindah ke header yang memblokir. Hindari 'unsafe-inline' dan 'unsafe-eval' di script-src; gunakan nonce atau hash untuk beberapa script inline yang memang kamu butuhkan.
Cek situs yang sudah live dengan Security Headers Checker.
Juga dicari sebagai: generator content security policy, header csp, cara membuat csp, content-security-policy builder, csp nginx, meta tag csp, csp google analytics, csp report-only.
Tool yang cocok dipakai bersama CSP Generator
- Generator .htaccess — Centang aturan yang kamu butuhkan — HTTPS, host kanonik, redirect, kompresi, cache, security headers, file yang dilindungi — lalu dapatkan file .htaccess yang rapi dan berkomentar.
- Generator Config Nginx — Pilih apa yang harus dilakukan Nginx: menyajikan situs statis atau SPA, meneruskan ke aplikasi Node/Python, atau menjalankan PHP, lalu centang fitur tambahannya.
- Cek HTTP Header — Ambil URL apa pun dan lihat persis apa yang dikirim server — status code, rantai redirect, dan setiap header respons, lengkap dengan penjelasan sederhana untuk header yang penting bagi SEO, caching, dan keamanan.
- Generator security.txt — Isi beberapa kolom untuk membuat /.well-known/security.txt yang sesuai standar, yang memberi tahu peneliti keamanan cara melaporkan masalah keamanan ke kamu.