Kostenloser CSP-Header-Generator

Der CSP-Generator ist ein kostenloses Online-Tool, das Content-Security-Policy-Header erstellt, um Ihre Website vor XSS, Clickjacking und anderen Injection-Angriffen zu schützen.

Ja, er ist völlig kostenlos und erfordert keine Registrierung. Die gesamte Richtlinienerstellung erfolgt clientseitig in Ihrem Browser.

Eine CSP teilt Browsern mit, welche Inhaltsquellen vertrauenswürdig sind, blockiert schädliche Skripte und verringert das Risiko von Cross-Site-Scripting-Angriffen (XSS) auf Ihrer Website.

Absolut. Der CSP-Header-Generator verarbeitet alles clientseitig in Ihrem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Ihre Inhalte bleiben jederzeit privat auf Ihrem Gerät.

Ja, der CSP-Header-Generator ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Sie können ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ohne eine App herunterladen zu müssen.

Es ist kein Konto und keine Registrierung erforderlich. Öffnen Sie einfach den CSP-Header-Generator in Ihrem Browser und beginnen Sie sofort mit der Nutzung. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Geben Sie einfach Ihren Text in das vorgesehene Feld ein, passen Sie die Einstellungen nach Wunsch an, und das Tool verarbeitet ihn sofort. Anschließend können Sie das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der CSP-Header-Generator funktioniert in allen modernen Browsern, darunter Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwenden Sie die neueste Version Ihres bevorzugten Browsers.

Das sind CSP-Quellschlüsselwörter, die dem Browser mitteilen, welche Inhalte eine Direktive erlaubt. 'self' lässt Ressourcen ausschließlich vom eigenen Origin zu (gleiches Schema, gleicher Host, gleicher Port), sodass ein script-src von 'self' eigene Skripte lädt, Skripte von Drittanbietern jedoch blockiert. 'none' ist der strengste Wert: Er blockiert für diese Direktive jede Quelle, weshalb object-src 'none' ein gängiger Härtungsschritt ist. 'unsafe-inline' aktiviert wieder Inline-Skripte und -Styles, die direkt im HTML stehen, und 'unsafe-eval' erlaubt eval()-basierten Code; beides ist bequem, öffnet aber genau die XSS-Lücke wieder, die CSP eigentlich schließen soll — verwende stattdessen wo möglich eine Nonce oder einen Hash. Mit diesem Generator kannst du diese Schlüsselwörter per Klick direkt auf jede Direktive anwenden und siehst sofort, wie sich jede Wahl auf deinen Strictness-Score auswirkt, sodass der Sicherheits-Trade-off beim Bauen sichtbar wird.

Manche Direktiven werden schlicht ignoriert, wenn eine CSP über ein HTML-Meta-Tag statt über einen echten HTTP-Response-Header ausgeliefert wird. Die Direktive frame-ancestors, die Clickjacking verhindert, indem sie steuert, wer deine Seite einbetten darf, funktioniert nur als Header, weil die Framing-Entscheidung fällt, bevor das Dokument das Meta-Tag überhaupt parst. Aus demselben Grund werden die Direktive report-uri zum Sammeln von Verstoßmeldungen und die Direktive sandbox in Meta-Form ignoriert. Wenn deine Anti-Clickjacking- oder Reporting-Regeln also scheinbar wirkungslos bleiben, liegt das meist genau daran. Wo immer du Zugriff auf deine Serverkonfiguration hast, solltest du den HTTP-Header bevorzugen. Dieses Tool weist genau auf diese Einschränkung in seiner Output-Ansicht hin und liefert dir neben dem rohen Content-Security-Policy-Header auch fertige Config-Blöcke für Nginx, Apache, Express.js und Next.js, damit du korrekt deployst.

Eine Nonce ist ein zufälliges, nur einmal verwendbares Token, mit dem du genau einem bestimmten Inline-Skript vertraust, ohne die Tür mit 'unsafe-inline' komplett zu öffnen. Du fügst den Wert 'nonce-{random}' zu deiner script-src-Direktive hinzu und setzt dasselbe Nonce-Attribut auf das Script-Tag, das du zulassen willst, etwa <script nonce="{random}">. Der Browser führt dann nur Inline-Skripte aus, die genau dieses Token tragen, und blockiert jedes andere eingeschleuste Skript, sodass ein Angreifer, der den Wert nicht erraten kann, seinen Payload nicht ausführen kann. Entscheidend ist, dass die Nonce bei jedem Seitenaufruf neu erzeugt und niemals fest codiert oder wiederverwendet wird. Dieser Generator erzeugt eine kryptografisch starke Nonce über die crypto.getRandomValues()-API des Browsers und liefert dir den fertig formatierten 'nonce-...'-String zum Einfügen in Policy und Script-Tags.

Eine zu strenge Policy blockiert legitime Skripte, Styles oder API-Aufrufe unbemerkt, weshalb es riskant ist, CSP direkt scharf zu schalten. Der Report-Only-Modus löst genau dieses Problem. Wird die Policy über den Header Content-Security-Policy-Report-Only statt Content-Security-Policy gesendet, blockiert der Browser nichts, sondern protokolliert lediglich jeden Verstoß, den er verursacht hätte, und schickt die Details an deinen report-uri-Endpunkt. So kannst du echten Traffic beobachten, herausfinden, welche Ressourcen die Policy auslösen, und die Regeln anpassen, bevor ein Nutzer eine kaputte Seite zu Gesicht bekommt. Das übliche sichere Vorgehen ist, zunächst im Report-Only-Modus zu deployen, zu überwachen, bis die Meldungen ausbleiben, und erst dann auf den scharf schaltenden Header zu wechseln. Nutze den Builder dieses Tools, um die Policy zusammenzustellen und feinzujustieren, und die Test-Ansicht, um konkrete URLs gegen deine Direktiven zu prüfen, bevor du dich für die Durchsetzung entscheidest.

Ein sinnvoller Ausgangspunkt ist schneller und sicherer als der Aufbau von Grund auf, und der richtige Startpunkt hängt vom eingesetzten Stack ab. Das WordPress-Preset ist großzügiger gestaltet, weil Themes und Plugins häufig Inline-Skripte und -Styles einschleusen — es erlaubt daher 'unsafe-inline' sowie gängige Embed-Quellen wie YouTube und Vimeo, um Dashboard und Frontend nicht zu zerstören. Das SPA-Preset eignet sich für React-, Vue- oder Angular-Builds: Es hält script-src eng bei 'self', ergänzt worker-src für Blob-Worker und öffnet connect-src für deine API- und WebSocket-Endpunkte. Daneben gibt es die Presets Strict, Moderate und Relaxed, die das gesamte Spektrum von streng bis großzügig abdecken. Wende in diesem Tool das passende Preset an und schärfe oder erweitere anschließend einzelne Direktiven für deine tatsächlichen Drittanbieter-Domains, während dich der live berechnete Strictness-Score zu einer strengeren Policy führt.