XSS Mitigation & Headers
CSP Generator & Validator
Build, customize and validate Content Security Policy (CSP) directives in real time to protect your web application against XSS and clickjacking.
Quick Presets:
Load pre-tuned security rules
Configure CSP Directives
Generated CSP Output
Frequently Asked Questions
Content Security Policy FAQ
Was ist eine Content Security Policy (CSP)?
CSP ist ein HTTP-Sicherheitsheader, der dem Browser vorschreibt, aus welchen Quellen Skripte, Stylesheets und Medien geladen werden dürfen. Es ist der wirksamste Schutz gegen Cross-Site-Scripting (XSS).
Warum sollten Sie unsafe-inline und unsafe-eval vermeiden?
Die Zulassung von "unsafe-inline" hebt den Hauptschutz von CSP auf, da Angreifer dadurch eigene <script>-Tags ausführen können. Verwenden Sie stattdessen Nonces oder Hashes.
Welche Richtlinie verhindert Clickjacking-Angriffe?
Die Richtlinie "frame-ancestors" legt fest, welche Websites Ihre Seiten in <iframe>-Elementen einbetten dürfen, und ersetzt den älteren Header X-Frame-Options.
Wie teste ich eine CSP-Richtlinie, ohne meine Website zu beschädigen?
Verwenden Sie den Header "Content-Security-Policy-Report-Only". Der Browser blockiert keine Elemente, sendet jedoch detaillierte JSON-Fehlerberichte an Ihren Server.
Benötige ich professionelle Hilfe bei der Einführung von CSP in komplexen Anwendungen?
Bei komplexen Websites mit externen Zahlungsanbietern und Analysetools kann ein falscher CSP vitale Funktionen blockieren. Unser Team unterstützt Sie gern: Sicherheitsaudit anfordern.