Cách dùng Trình tạo CSP
- Đánh dấu các dịch vụ trang web của bạn dùng (analytics, font, video nhúng, thanh toán). Host của chúng sẽ được thêm vào đúng directive.
- Điều chỉnh directive bất kỳ, ví dụ thêm CDN riêng của bạn vào
script-srchoặcimg-src. - Bắt đầu với Report-only trên trang đang hoạt động: trình duyệt chỉ ghi nhận vi phạm mà không chặn gì.
- Sao chép chính sách dưới dạng header, thẻ meta hoặc cấu hình server, triển khai, rồi kiểm tra console trình duyệt xem tài nguyên nào bị chặn.
Content Security Policy làm gì?
Content-Security-Policy (CSP) cho trình duyệt biết trang có thể tải script, style, hình ảnh, font, frame và kết nối từ những nguồn nào. Nếu kẻ tấn công chèn một <script> vào trang (cross-site scripting), trình duyệt sẽ không chạy nó vì nguồn của nó không được phép. Đây là một trong những biện pháp phòng thủ hiệu quả nhất chống XSS và đánh cắp dữ liệu.
Các directive quan trọng
| Directive | Kiểm soát |
|---|---|
default-src | Giá trị dự phòng cho mọi loại tài nguyên bạn không liệt kê |
script-src | JavaScript — quan trọng nhất |
style-src, img-src, font-src | CSS, hình ảnh và web font |
connect-src | fetch, XHR, WebSocket và beacon analytics |
frame-src / frame-ancestors | Bạn nhúng iframe nào / ai được nhúng trang của bạn (clickjacking) |
object-src 'none', base-uri 'self' | Chặn hai đường vượt XSS kinh điển — luôn nên đặt |
Triển khai an toàn
Hãy triển khai với Content-Security-Policy-Report-Only trước và theo dõi console trình duyệt (hoặc endpoint report-to) trong vài ngày. Sửa những gì bị lỗi, sau đó chuyển sang header thực thi. Tránh 'unsafe-inline' và 'unsafe-eval' trong script-src; hãy dùng nonce hoặc hash cho số ít script inline bạn thực sự cần.
Kiểm tra trang đang hoạt động bằng Security Headers Checker.
Cũng được tìm dưới tên: công cụ tạo csp, content security policy generator, csp header, tạo content security policy, csp nginx, csp meta tag, csp google analytics, csp report-only.
Các công cụ dùng kèm tốt với Trình tạo CSP
- Trình tạo .htaccess — Chọn các quy tắc bạn cần — HTTPS, host chuẩn, redirect, nén, cache, header bảo mật, file được bảo vệ — và nhận ngay một file .htaccess gọn gàng, có chú thích.
- Tạo Cấu Hình Nginx — Chọn việc Nginx cần làm — phục vụ site tĩnh hoặc SPA, proxy tới ứng dụng Node/Python, hoặc chạy PHP — rồi đánh dấu các tùy chọn thêm.
- Kiểm tra HTTP Header — Nhập bất kỳ URL nào và xem chính xác máy chủ trả về gì: mã trạng thái, chuỗi chuyển hướng và mọi response header, kèm giải thích dễ hiểu cho những header quan trọng với SEO, cache và bảo mật.
- Công cụ tạo security.txt — Điền vài trường thông tin để tạo file /.well-known/security.txt đúng chuẩn, giúp nhà nghiên cứu biết cách báo cáo sự cố bảo mật cho bạn.