Modèles :
| Directive | Actif | Valeurs (séparées par des espaces) |
|---|
floobits.com
floobits.com
🔐 Sécurité
Composez votre Content Security Policy directive par directive et obtenez l'en-tête HTTP ou la balise meta, avec les limites à connaître.
Par Jimenez Julien, éditeur de Floobits.com · mis à jour le
| Directive | Actif | Valeurs (séparées par des espaces) |
|---|
La Content Security Policy (CSP) est un en-tête de sécurité qui indique au navigateur d'où une page peut charger scripts, styles, images, polices ou cadres. Bien configurée, elle limite fortement l'impact des failles XSS, car un script injecté depuis une source non autorisée est bloqué. Elle protège aussi contre l'intégration dans un cadre malveillant grâce à frame-ancestors.
Ce générateur propose les directives principales avec leurs valeurs, des modèles de départ (strict, site statique, contenus tiers) et produit la politique sous forme d'en-tête HTTP, de balise meta, de configuration Nginx, Apache ou de fichier _headers. Les mots-clés comme self ou none sont mis entre apostrophes automatiquement, et des alertes signalent les réglages risqués : unsafe-inline, unsafe-eval, jokers, absence d'object-src ou de base-uri.
La balise meta est pratique sur un hébergement sans accès aux en-têtes, mais elle est limitée : pas de frame-ancestors, de report-uri ni de sandbox, pas de mode Report-Only, et seule la partie du document qui suit la balise est contrôlée. Déployez d'abord en Report-Only, corrigez les violations observées, puis appliquez la politique.
L'en-tête s'applique à toute la réponse et gère toutes les directives. La balise meta ne couvre que le contenu qui la suit et ignore frame-ancestors, report-uri, report-to et sandbox.
Utilisez le mode Report-Only : le navigateur signale les violations sans rien bloquer. Corrigez-les, puis passez à l'en-tête normal.
Il autorise tous les scripts ou styles écrits dans la page, y compris ceux injectés par un attaquant. Un nonce aléatoire ou une empreinte de hachage permet d'autoriser seulement vos blocs en ligne.