Como usar: Gerador de CSP
- Marque os serviços que seu site usa (analytics, fontes, vídeos incorporados, pagamentos). Os domínios deles são adicionados às diretivas corretas.
- Ajuste qualquer diretiva — por exemplo, adicione seu próprio CDN em
script-srcouimg-src. - Comece com o Report-only em um site no ar: os navegadores registram as violações sem bloquear nada.
- Copie a política como cabeçalho, meta tag ou configuração do servidor, publique e verifique o console do navegador para recursos bloqueados.
O que uma Content Security Policy faz
Uma Content-Security-Policy (CSP) informa ao navegador de quais origens uma página pode carregar scripts, estilos, imagens, fontes, frames e conexões. Se um atacante injetar um <script> (cross-site scripting), o navegador se recusa a executá-lo porque a origem dele não é permitida. É uma das defesas mais eficazes contra XSS e roubo de dados.
Diretivas principais
| Diretiva | Controla |
|---|---|
default-src | Valor padrão para todo tipo de recurso que você não listar |
script-src | JavaScript — a mais importante |
style-src, img-src, font-src | CSS, imagens e fontes web |
connect-src | fetch, XHR, WebSocket e beacons de analytics |
frame-src / frame-ancestors | Quais iframes você incorpora / quem pode incorporar sua página (clickjacking) |
object-src 'none', base-uri 'self' | Fecham duas brechas clássicas de XSS — sempre defina |
Implantando com segurança
Publique primeiro com Content-Security-Policy-Report-Only e acompanhe o console do navegador (ou um endpoint report-to) por alguns dias. Corrija o que quebrar e então troque para o cabeçalho de imposição. Evite 'unsafe-inline' e 'unsafe-eval' em script-src; use nonces ou hashes para os poucos scripts inline de que você precisar.
Verifique um site no ar com o Verificador de Security Headers.
Também pesquisado como: gerador content security policy, csp header, content-security-policy online, csp nginx, csp meta tag, script-src, csp google analytics, csp report-only.
Ferramentas que combinam com: Gerador de CSP
- Gerador de .htaccess — Marque as regras que você precisa — HTTPS, host canônico, redirecionamentos, compressão, cache, cabeçalhos de segurança, arquivos protegidos — e receba um arquivo .htaccess limpo e comentado.
- Gerador de configuração do Nginx — Escolha o que o Nginx deve fazer — servir um site estático ou um SPA, atuar como proxy para um aplicativo Node/Python ou executar PHP — e marque os recursos extras.
- Verificador de Cabeçalhos HTTP — Busque qualquer URL e veja exatamente o que o servidor devolve: status code, cadeia de redirecionamentos e todos os cabeçalhos de resposta, com explicação em linguagem simples dos que importam para SEO, cache e segurança.
- Gerador de security.txt — Preencha alguns campos para gerar um /.well-known/security.txt compatível com o padrão, que indica aos pesquisadores como reportar problemas de segurança para você.