Generador de cabeceras CSP gratis

El generador de CSP es una herramienta en línea gratuita que crea encabezados de Content Security Policy para proteger tu sitio web contra XSS, clickjacking y otros ataques de inyección.

Sí, es completamente gratuito y no requiere registro. Toda la generación de políticas se realiza del lado del cliente en tu navegador.

Una CSP indica a los navegadores qué fuentes de contenido son de confianza, bloqueando scripts maliciosos y reduciendo el riesgo de ataques de cross-site scripting (XSS) en tu sitio web.

Por supuesto. El generador de encabezados CSP procesa todo del lado del cliente en tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el generador de encabezados CSP es totalmente adaptable y funciona en teléfonos y tabletas. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el generador de encabezados CSP en tu navegador y empieza a usarlo de inmediato. No hay barreras de registro ni restricciones de uso.

Solo tienes que introducir tu texto en el campo correspondiente, ajustar las opciones a tu gusto y la herramienta lo procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El generador de encabezados CSP funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Estas son palabras clave de origen de CSP que le indican al navegador qué contenido permite una directiva. 'self' permite recursos solo desde tu propio origen (mismo esquema, host y puerto), así que un script-src con 'self' carga tus propios scripts pero bloquea los de terceros. 'none' es el valor más estricto: bloquea toda fuente para esa directiva, por eso object-src 'none' es un paso de endurecimiento habitual. 'unsafe-inline' reactiva los scripts y estilos inline escritos directamente en tu HTML, y 'unsafe-eval' permite código basado en eval(); ambos son cómodos pero reabren exactamente el agujero de XSS que CSP existe para cerrar, así que usa un nonce o un hash cuando sea posible. Este generador te permite hacer clic en estas palabras clave directamente sobre cada directiva y muestra cómo cada elección mueve tu puntaje de rigurosidad, para que veas el compromiso de seguridad mientras construyes.

Algunas directivas simplemente se ignoran cuando la CSP se entrega mediante una etiqueta meta HTML en lugar de una cabecera de respuesta HTTP real. La directiva frame-ancestors, que previene el clickjacking controlando quién puede embeber tu página, solo funciona como cabecera porque la decisión de encuadre ocurre antes de que el documento procese la etiqueta meta. La directiva report-uri, para recolectar reportes de violaciones, y la directiva sandbox se ignoran en formato meta por la misma razón. Por eso, si tus reglas anti-clickjacking o de reporte parecen no hacer nada, esa suele ser la causa. Siempre que controles la configuración de tu servidor, prioriza la cabecera HTTP. Esta herramienta señala exactamente esta limitación en su vista de Salida y te entrega la cabecera Content-Security-Policy en bruto junto con bloques de configuración listos para pegar en Nginx, Apache, Express.js y Next.js, para que la despliegues de la forma correcta.

Un nonce es un token aleatorio de un solo uso que te permite confiar en un script inline específico sin abrir la puerta con 'unsafe-inline'. Agregas el valor 'nonce-{aleatorio}' a tu directiva script-src, y luego colocas el atributo nonce correspondiente en la etiqueta script que quieres permitir, como <script nonce="{aleatorio}">. El navegador ejecuta solo los scripts inline que lleven ese token exacto y bloquea cualquier otro script inyectado, así que un atacante que no pueda adivinar el valor no puede ejecutar su payload. La regla crítica es que el nonce debe generarse de nuevo en cada carga de página, nunca debe estar codificado de forma fija ni reutilizarse. Este generador crea un nonce criptográficamente fuerte con la API crypto.getRandomValues() del navegador y te entrega la cadena formateada 'nonce-...' para copiarla tanto en tu política como en tus etiquetas script.

Una política demasiado estricta bloquea silenciosamente scripts, estilos o llamadas a API legítimas, así que enviar CSP directo a producción en modo forzado es arriesgado. El modo solo-reporte resuelve esto. Al enviar la política bajo la cabecera Content-Security-Policy-Report-Only en lugar de Content-Security-Policy, el navegador no bloquea nada; solo registra cada violación que habría causado, enviando los detalles a tu endpoint report-uri. Esto te permite observar el tráfico real, descubrir qué recursos disparan la política y corregir las reglas antes de que algún usuario vea una página rota. El patrón de despliegue seguro estándar es lanzar primero en modo solo-reporte, monitorear hasta que los reportes se calmen, y luego cambiar a la cabecera de aplicación forzada. Usa el generador de esta herramienta para armar y ajustar la política, y su vista de Prueba para verificar URLs específicas contra tus directivas antes de comprometerte con el modo forzado.

Elegir una base sensata es más rápido y seguro que construir desde cero, y el punto de partida correcto depende de tu stack. El preset de WordPress es más permisivo porque los temas y plugins suelen inyectar scripts y estilos inline, así que permite 'unsafe-inline' y fuentes de embebido comunes como YouTube y Vimeo para evitar romper el panel de administración y el frontend. El preset de SPA es adecuado para builds de React, Vue o Angular: mantiene script-src ajustado en 'self', agrega worker-src para workers de tipo blob, y abre connect-src para tus endpoints de API y WebSocket. También existen los presets Estricto, Moderado y Relajado, que cubren todo el rango desde el máximo bloqueo hasta el más permisivo. Aplica el preset más cercano en esta herramienta, y luego recorta o extiende directivas individuales según tus dominios reales de terceros mientras el puntaje de rigurosidad en vivo te guía hacia una política más dura.