Constructor de Content Security Policy

Una cabecera HTTP que controla qué recursos puede cargar un navegador, lo que previene ataques de XSS e inyección de datos.

La aplicada bloquea las infracciones. La de solo informe las permite pero las reporta, lo cual es útil para hacer pruebas antes de aplicarla.

unsafe-inline permite scripts en línea explotables. unsafe-eval habilita la ejecución de código dinámico. Ambos debilitan considerablemente la protección de CSP.

Sí, el Constructor de Content Security Policy es 100 % gratuito, sin registro, sin cargos ocultos y sin límites de uso. Todo el procesamiento ocurre localmente en tu navegador, garantizando una privacidad total.

Sí, el Constructor de Content Security Policy es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el Constructor de Content Security Policy en tu navegador y empieza a usarlo de inmediato. No hay muros de registro ni restricciones de uso.

Solo tienes que introducir tus datos en el campo correspondiente, ajustar las opciones a tu gusto y la herramienta los procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El Constructor de Content Security Policy funciona en todos los navegadores modernos, como Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

default-src es la directiva de respaldo: establece las fuentes permitidas para cualquier tipo de recurso que no hayas configurado explícitamente, así que fijarla en 'none' o 'self' crea una base de denegación por defecto. script-src es una anulación específica que controla únicamente desde dónde puede cargarse JavaScript, y tiene prioridad sobre default-src para los scripts. Como los scripts son el vector principal del cross-site scripting, casi siempre conviene tener un script-src estricto aunque default-src ya sea restrictivo; por ejemplo, default-src 'self' junto con un script-src 'self' independiente que añade un nonce. Otras directivas por tipo, como style-src, img-src y connect-src, funcionan igual, acotando un tipo de recurso mientras default-src cubre el resto. Este creador te permite establecer default-src una sola vez y anular directivas individuales solo donde haga falta.

En Nginx añades la política dentro de un bloque server o location con add_header Content-Security-Policy "tu política aquí" always; el indicador always garantiza que la cabecera se envíe incluso en respuestas de error como los 404. En Apache usas Header set Content-Security-Policy "tu política aquí" dentro del VirtualHost correspondiente o en el .htaccess, con mod_headers habilitado. En ambos casos el valor es la cadena completa de directivas, y hay que recargar el servidor para que surta efecto. Acertar con la sintaxis a mano es propenso a errores, así que este creador genera fragmentos listos para copiar y pegar para Nginx, Apache, Express.js y Next.js a partir de la política que configures. Define tus directivas de forma visual, elige tu servidor y pega el bloque generado directamente en tu configuración.

Una CSP puede entregarse de dos maneras: como cabecera de respuesta HTTP Content-Security-Policy o como etiqueta HTML <meta http-equiv="Content-Security-Policy"> en el head de la página. El método de la etiqueta meta es cómodo cuando no puedes editar la configuración del servidor, pero la especificación ignora deliberadamente ciertas directivas en ese contexto. frame-ancestors, report-uri, report-to y sandbox solo funcionan cuando se envían como una cabecera HTTP real, porque deben conocerse antes de que la página se renderice o porque se relacionan con el reporte a nivel de respuesta. Si la protección contra clickjacking te importa, frame-ancestors debe venir de la cabecera, no de la etiqueta meta. Este creador te permite alternar entre los formatos de salida de cabecera y meta, y te avisa de qué directivas se descartan en el modo meta, para que no publiques una política que pierda silenciosamente su protección contra el clickjacking.

Cada cambio recalcula una puntuación de rigurosidad sobre 100, calificada como Débil, Aceptable, Buena o Excelente. La puntuación premia decisiones realmente protectoras en lugar de la mera presencia de una política. Obtienes la mayor cantidad de puntos por un default-src restrictivo ('none' supera a 'self'), un script-src sin las palabras clave unsafe-inline ni unsafe-eval, object-src 'none' y un frame-ancestors definido. Añadir base-uri, form-action, un style-src limpio y otras directivas de acotación empuja el número aún más hacia arriba, mientras que las fuentes con comodín y las palabras clave inseguras lo mantienen bajo. Activar el modo de solo informe (report-only) reduce ligeramente la puntuación, ya que una cabecera de solo informe no ofrece bloqueo real hasta que aplicas la política. La pestaña de Análisis detalla exactamente qué está determinando tu puntuación, para que veas qué puntos débiles corregir y pasar de Buena a Excelente.

Un nonce es un token aleatorio que tu servidor genera en cada carga de página y coloca tanto en la CSP como en cada etiqueta <script> de confianza; el navegador solo ejecuta los scripts que llevan el nonce correspondiente. Un hash funciona de forma similar, pero identifica un script en línea específico mediante su huella sha256, sin necesitar un token por solicitud. Ambos te permiten conservar los scripts en línea necesarios mientras eliminas 'unsafe-inline', que de otro modo permitiría ejecutar cualquier script en línea inyectado y anularía tu protección contra XSS. Combinar un nonce con 'strict-dynamic' también permite que los scripts de confianza carguen sus propias dependencias sin necesidad de incluir en la lista blanca cada dominio. Este creador incluye valores de fuente con marcadores de nonce y sha256, y recomienda pasar de unsafe-inline a un enfoque basado en nonce o hash. Configura aquí script-src con un marcador de nonce y luego conecta el token real en tu servidor.