XSS Mitigation & Headers
CSP Generator & Validator
Build, customize and validate Content Security Policy (CSP) directives in real time to protect your web application against XSS and clickjacking.
Quick Presets:
Load pre-tuned security rules
Configure CSP Directives
Generated CSP Output
Frequently Asked Questions
Content Security Policy FAQ
O que é uma Content Security Policy (CSP)?
O CSP é um cabeçalho de segurança HTTP que define quais fontes de scripts, estilos e imagens são autorizadas a ser executadas no seu site, constituindo a proteção mais eficaz contra ataques XSS.
Por que razão deve evitar unsafe-inline e unsafe-eval?
Permitir "unsafe-inline" anula a principal proteção do CSP, pois autoriza a execução de blocos de scripts inseridos por atacantes via XSS. O ideal é recorrer a nonces criptográficos ou hashes.
Qual diretiva previne ataques de Clickjacking?
A diretiva "frame-ancestors" determina que sites podem incorporar a sua página num <iframe>. Configurar como 'self' ou 'none' substitui com maior precisão o antigo cabeçalho X-Frame-Options.
Como posso testar uma política CSP sem quebrar o meu site?
Pode utilizar o cabeçalho "Content-Security-Policy-Report-Only". O navegador não bloqueará recursos, mas enviará relatórios JSON com todas as violações detetadas.
Preciso de ajuda profissional para implementar CSP em aplicações complexas?
Em aplicações com plataformas de pagamento e ferramentas analíticas, um CSP incorreto pode bloquear funcionalidades críticas. A nossa equipa pode auditar e implementar uma política estrita: solicite uma auditoria.