XSS Mitigation & Headers
CSP Generator & Validator
Build, customize and validate Content Security Policy (CSP) directives in real time to protect your web application against XSS and clickjacking.
Quick Presets:
Load pre-tuned security rules
Configure CSP Directives
Generated CSP Output
Frequently Asked Questions
Content Security Policy FAQ
Qu’est-ce qu’une Content Security Policy (CSP) ?
CSP est un en-tête de sécurité HTTP indiquant au navigateur quelles sources de scripts, styles et images sont autorisées sur votre page. C’est la défense la plus efficace contre les attaques XSS.
Pourquoi devez-vous éviter unsafe-inline et unsafe-eval ?
Autoriser "unsafe-inline" annule la majeure partie de la sécurité apportée par le CSP, car cela permet l’exécution de scripts injectés par des attaquants. Privilégiez l’utilisation de nonces ou de hachages.
Quelle directive empêche les attaques par Clickjacking ?
La directive "frame-ancestors" spécifie quels sites parents sont autorisés à intégrer votre page dans une <iframe>. Elle remplace avantageusement l’ancien en-tête X-Frame-Options.
Comment tester une politique CSP sans bloquer mon site ?
Utilisez l’en-tête "Content-Security-Policy-Report-Only". Le navigateur ne bloquera aucun élément, mais vous transmettra des rapports d’infraction détaillés.
Ai-je besoin d’une assistance professionnelle pour déployer un CSP complexe ?
Sur les applications utilisant des modules tiers ou passerelles de paiement, une mauvaise règle peut bloquer des processus vitaux. Notre équipe peut concevoir votre politique sur-mesure : demander un audit.