Créez un en-tête Content-Security-Policy avec les sources admises

Ce générateur transforme des lignes structurées de directives en une seule valeur correctement séparée, tout en détectant les noms inconnus, doublons, séparateurs dangereux et valeurs absentes. Il convient aux politiques assemblées depuis un outil de déploiement, un écran de configuration, une liste de contrôle de sécurité ou un modèle d’application lorsque vous souhaitez un résultat prévisible sans réunir des fragments à la main ni accepter par erreur une directive mal orthographiée.

Décrivez la politique sous forme de lignes

Saisissez une ligne pour chaque directive à envoyer. Chaque ligne comprend le nom de la directive et une liste ordonnée d’expressions de source ou de jetons. Ainsi, default-src commence souvent par 'self', tandis que script-src peut ajouter un hôte HTTPS précis de diffusion de contenu. Le générateur met les noms en minuscules, retire les espaces extérieurs, conserve l’ordre des lignes et des sources, puis sépare les directives par des points-virgules. Il n’invente aucune directive de repli et n’élargit jamais la politique en silence. Cette distinction compte, car une omission et une autorisation n’ont pas le même effet. Sans img-src, default-src peut s’appliquer, alors qu’un joker supplémentaire peut autoriser davantage d’emplacements que prévu. Considérez chaque source comme un seul jeton CSP et gardez les apostrophes de mots tels que 'self' et 'none'. N’utilisez un schéma comme data: que si l’application en a réellement besoin. Le résultat est la valeur complète, et non le nom de l’en-tête; vous pouvez donc l’affecter directement à Content-Security-Policy sur le serveur ou en périphérie.

La validation repère les erreurs de structure

Le générateur n’accepte que les noms de directives CSP reconnus et signale une erreur d’entrée pour tout nom inconnu. Il détecte ainsi des fautes que le navigateur pourrait ignorer et qui laisseraient certaines ressources moins limitées que prévu. Les doublons sont refusés, car une ligne unique et explicite se contrôle plus facilement et évite les surprises. Les points-virgules, virgules, sauts de ligne et espaces internes sont interdits dans un jeton de source: ils pourraient scinder ou altérer la politique. La plupart des directives exigent au moins une source ou un jeton. En revanche, upgrade-insecure-requests et block-all-mixed-content sont sans valeur: elles nécessitent une liste vide et sont émises seules. L’outil valide la structure; il ne décide ni si un hôte est fiable ni si la politique protège suffisamment votre application. Il ne consulte aucun site, n’inspecte pas le code, ne génère pas de nonce et ne teste pas la compatibilité. Vérifiez les permissions par rapport au comportement réel et déployez les restrictions avec surveillance et environnements progressifs si une rupture peut toucher les utilisateurs.

Déployez, examinez et entretenez le résultat

Copiez la valeur renvoyée dans l’en-tête de réponse Content-Security-Policy. Conservez-la comme configuration auprès de l’application au lieu de disperser des fragments entre intergiciels, règles de proxy et modèles. Une liste centralisée rend les ajouts vérifiables et permet aux systèmes automatisés de régénérer exactement la même chaîne. Commencez par default-src comme base volontaire, puis ajoutez des directives ciblées telles que script-src, style-src, img-src, connect-src, font-src, frame-src, object-src et frame-ancestors lorsque l’application demande un autre comportement. Préférez les hôtes et schémas explicites aux jokers étendus. Pour des hachages ou nonces, fournissez le jeton CSP complet entre apostrophes; la création du nonce appartient à la couche qui traite chaque requête, car cette capacité est déterministe et ne produit aucun aléa. Testez la réponse déployée dans les outils du navigateur et envisagez d’abord un mode de rapport. Les rapports peuvent révéler des dépendances bloquées, mais doivent conduire à des corrections précises plutôt qu’à des permissions générales. Relancez le générateur après chaque modification. Les requêtes API coûtent $0.002, tandis que le navigateur emploie le même algorithme pur.