Gerador de Política CSP
Monte uma Content-Security-Policy por diretivas, com presets, alertas para unsafe-inline/curingas e saída para Nginx, Apache e Express.
Como utilizar
- Comece por um preset (estrito, SPA, Google Fonts, nonce).
- Ajuste as diretivas de acordo com os domínios que seu site usa.
- Revise os alertas.
- Copie para o formato do seu servidor.
Perguntas frequentes
Por que evitar unsafe-inline?
Ele permite executar scripts embutidos, exatamente o que um ataque XSS injeta. Prefira nonces ou hashes com 'strict-dynamic'.
Posso usar CSP via <meta>?
Sim, com limitações: frame-ancestors, report-uri e sandbox não funcionam em meta — por isso são removidos dessa saída.
Informações técnicas
- Diretivas CSP nível 3; snippets para cabeçalho, meta, Nginx, Apache e helmet (Express).
- Processamento 100% local no navegador; nada é registrado, salvo ou enviado.
Ferramentas relacionadas
- Gerador de Cabeçalhos de Segurança HTTP — Marque um checklist de cabeçalhos de segurança e obtenha a configuração pronta para Nginx, Apache, Express, Next.js e IIS.
- Analisador de Cabeçalhos HTTP — Inspecione os cabeçalhos HTTP de um site, siga redirecionamentos e receba nota e recomendações de segurança (HSTS, CSP, cookies…).
- Gerador de SRI (Subresource Integrity) — Gere o atributo integrity (sha256/384/512) de scripts e folhas de estilo a partir do conteúdo ou do arquivo, com a tag HTML pronta.
- Visualizador de cabeçalhos HTTP — Cole cabeçalhos HTTP brutos e veja cada um explicado em português, com alertas de segurança e boas práticas.
- Comparador de Hashes — Compare dois hashes ignorando espaços e maiúsculas, em tempo constante, e veja o algoritmo provável e onde diferem.
- Decodificador de Certificados X.509 — Leia certificados PEM ou DER: sujeito, emissor, validade, SANs, usos da chave, algoritmo e impressões digitais SHA-1/SHA-256.