./prontouso.com

KEAMANAN

Generator Header Content Security Policy (CSP)

Buat direktif Content Security Policy (CSP) standar (default-src, script-src, style-src, img-src, connect-src, frame-ancestors) untuk mencegah injeksi skrip berbahaya (XSS) dan clickjacking pada aplikasi web Anda.

Status alatBerjalan di browser Anda
Pratinjau
prontouso://security/csp-generator
HEADER · NGINX · APACHE · METAGENERASI OTOMATIS

Mulai dari sebuah profil

Pilih titik awal, lalu sesuaikan tiap direktif di bawah. Berganti profil tetap mempertahankan apa pun yang sudah Anda ketik pada direktif yang tidak disebutkannya.

KEBIJAKAN
default-src
Daftar sumber fallback untuk direktif apa pun yang tidak diatur secara eksplisit di bawah.
'self'
Tambah cepat
script-src
Dari mana JavaScript boleh dimuat dan dijalankan.
'self'
Tambah cepat
style-src
Dari mana stylesheet dan <style> inline boleh berasal.
'self'
Tambah cepat
img-src
Dari mana gambar boleh dimuat.
'self'data:
Tambah cepat
font-src
Dari mana font @font-face boleh dimuat.
'self'
Tambah cepat
connect-src
Tujuan yang diizinkan untuk fetch, XHR, WebSocket, dan EventSource.
'self'
Tambah cepat
worker-src
Dari mana skrip Worker/SharedWorker/ServiceWorker boleh dimuat.
Nonaktif — browser menggunakan fallback yang berlaku, jika direktif ini memilikinya.
frame-src
Sumber yang diizinkan untuk konten <frame>/<iframe> yang disematkan.
'none'
Tambah cepat
object-src
Sumber yang diizinkan untuk <object>/<embed>/<applet>. Biarkan pada 'none' kecuali Anda memerlukan plugin era Flash.
'none'
Tambah cepat
base-uri
Membatasi ke mana tag <base> boleh mengarah, memblokir trik injeksi yang umum.
'self'
Tambah cepat
form-action
Tujuan yang diizinkan untuk pengiriman formulir HTML.
'self'
Tambah cepat
frame-ancestors
Siapa yang boleh menyematkan halaman ini dalam frame — pengganti CSP untuk X-Frame-Options.
'none'
Tambah cepat
Pelaporan pelanggaran
● TANPA LOGIN · DIPROSES SECARA LOKAL

Kebijakan yang dihasilkan

Pilih format yang sesuai dengan tempat Anda menerapkan ini.

OUTPUT
Kesehatan kebijakan

Pemeriksaan otomatis terhadap kesalahan CSP yang umum.

✓Tidak ditemukan kelemahan yang jelas pada direktif yang diaktifkan.
Header HTTP
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; frame-src 'none'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'none';
Uji sebuah origin

Periksa apakah URL tertentu akan diizinkan berdasarkan direktif yang Anda pilih, menggunakan kebijakan di atas.

Tipe sumber daya
URL untuk diuji
Checklist peluncuran
1. Rilis header Hanya laporan ini — belum ada yang rusak di situs.
2. Kumpulkan laporan selama beberapa hari lalu lintas nyata sebelum mengubah apa pun.
3. Sesuaikan direktif di atas untuk sumber daya sah mana pun yang muncul terblokir.
4. Setelah laporan kembali bersih, alihkan mode ke Terapkan.

Cara kerja

  1. Masukkan data Anda

    Isi nilai yang diperlukan, tempel teks Anda, atau unggah file yang ingin diproses.

  2. Lihat hasil seketika

    Sebagian besar alat diperbarui secara langsung saat Anda mengetik; beberapa menggunakan satu tombol tindakan.

  3. Gunakan hasil Anda

    Salin, unduh, atau bagikan hasil yang dihasilkan — Anda selalu memiliki kendali penuh atas data Anda.

Privasi dan pemrosesan data — Berjalan secara lokal di browser Anda. Alat ini tidak mengunggah data Anda.

Apa itu Generator Header Content Security Policy (CSP)?

CSP Generator & Validator membantu pengembang web merancang header Content Security Policy yang ketat dan bebas kesalahan sintaks.

PAHAMI CARA KERJA ALAT

Panduan Pembuat & Pemvalidasi Header Content Security Policy (CSP)

Pelajari cara membuat dan mengonfigurasi header Content Security Policy (CSP) untuk melindungi situs web dari serangan Cross-Site Scripting (XSS).

Empat Profil Keamanan CSP Siap Pakai

Pilih dari 4 profil awal: "Starter" (baseline dasar untuk situs standar), "SPA" (disesuaikan untuk React/Vue/Angular), "Strict (nonce)" (menggunakan placeholder nonce untuk keamanan XSS tinggi), dan "Locked down" (kebijakan paling ketat).

Struktur Direktif dan Format Sintaks Header

Konfigurasikan direktif seperti default-src, script-src, style-src, img-src, dan connect-src. Hasil generator dikonversi langsung ke format header HTTP Content-Security-Policy atau tag meta HTML.

Pengujian Kebijakan Tanpa Pemblokiran

Anda dapat menguji kebijakan CSP menggunakan header Content-Security-Policy-Report-Only untuk mengumpulkan laporan pelanggaran tanpa memblokir fungsi situs.

Privasi konfigurasi aman

Semua pengaturan direktif CSP diproses di perangkat lokal tanpa dikirim ke server luar.

Pertanyaan yang Sering Diajukan (FAQ)

Apa fungsi utama dari header Content Security Policy (CSP)?

CSP adalah lapisan keamanan tambahan yang membantu mendeteksi dan memitigasi serangan eksekusi kode berbahaya seperti Cross-Site Scripting (XSS) dan data injection.

Apa perbedaan antara header CSP HTTP dan tag Meta HTML?

Header HTTP CSP dikirim langsung oleh web server dan mendukung semua direktif (termasuk frame-ancestors), sedangkan tag Meta dipasang di HTML dan memiliki beberapa keterbatasan.

Bagaimana cara menguji CSP tanpa merusak fitur situs yang ada?

Gunakan header Content-Security-Policy-Report-Only. Format ini tidak memblokir resource yang melanggar tetapi akan mengirimkan laporan pelanggaran ke endpoint yang Anda tentukan.

Alat Terkait