Cree una cabecera Content-Security-Policy con fuentes permitidas

Este generador convierte filas estructuradas de directivas en un único valor de cabecera bien separado y detecta nombres desconocidos, duplicados, separadores inseguros y valores ausentes. Resulta útil para políticas creadas desde herramientas de despliegue, pantallas de configuración, listas de seguridad o plantillas de aplicaciones, cuando usted necesita una salida previsible sin unir fragmentos a mano ni aceptar por accidente una directiva mal escrita.

Describa la política mediante filas de directivas

Introduzca una fila por cada directiva que desee enviar. Cada fila contiene el nombre de la directiva y una lista ordenada de expresiones de origen o tokens. Por ejemplo, default-src suele comenzar con 'self', mientras que script-src puede añadir un host HTTPS concreto de distribución de contenido. El generador convierte los nombres a minúsculas, elimina espacios exteriores, conserva el orden de filas y fuentes y une las directivas con punto y coma. No inventa alternativas ni amplía silenciosamente la política. Esto es importante porque omitir y permitir tienen consecuencias de seguridad distintas. Si falta img-src, puede aplicarse default-src; un comodín adicional, en cambio, puede autorizar más ubicaciones de las previstas. Trate cada fuente como un solo token CSP y conserve las comillas de palabras como 'self' y 'none'. Use esquemas como data: solo cuando la aplicación los necesite. El resultado es el valor completo, no el nombre de la cabecera, y puede asignarse directamente a Content-Security-Policy en el servidor o el perímetro.

La validación detecta errores estructurales

El generador solo acepta nombres de directivas CSP reconocidos y devuelve un error de entrada si encuentra uno desconocido. Así detecta errores ortográficos que los navegadores podrían ignorar y que dejarían una categoría de recursos menos restringida de lo esperado. También rechaza directivas duplicadas, pues una sola fila explícita es más fácil de revisar y evita resultados sorprendentes. No admite punto y coma, comas, saltos de línea ni espacios internos en un token de fuente, ya que podrían dividir o dañar la política. La mayoría de las directivas requiere al menos una fuente o token. upgrade-insecure-requests y block-all-mixed-content no llevan valor: exigen una lista vacía y se emiten solo por su nombre. La herramienta valida la estructura, no la confianza de un host ni la protección real de su aplicación. Tampoco consulta sitios, inspecciona código, genera nonces ni prueba compatibilidad. Compare los permisos con el comportamiento de la aplicación y despliegue cambios restrictivos con supervisión y entornos graduales cuando una rotura pueda afectar a usuarios.

Despliegue, revise y mantenga el resultado

Copie el valor devuelto en la cabecera de respuesta Content-Security-Policy. Manténgalo como configuración junto a la aplicación, en vez de repartir fragmentos entre middleware, reglas de proxy y plantillas. Una lista centralizada permite revisar cada adición y regenerar exactamente la misma cadena en cada ejecución. Comience con default-src como base deliberada y añada directivas más específicas, como script-src, style-src, img-src, connect-src, font-src, frame-src, object-src y frame-ancestors, cuando la aplicación requiera otro comportamiento. Prefiera hosts y esquemas explícitos a comodines amplios. Si usa hashes o nonces, aporte el token CSP completo y entre comillas; la creación del nonce corresponde a la capa que atiende cada solicitud, porque esta capacidad es determinista y no genera valores aleatorios. Pruebe la respuesta desplegada con las herramientas del navegador y considere primero una política de solo informes. Los informes pueden revelar dependencias bloqueadas, pero deben conducir a cambios precisos, no a permisos indiscriminados. Ejecute de nuevo el generador tras cada cambio de configuración. Las solicitudes API cuestan $0.002 y el navegador utiliza el mismo algoritmo puro.