Générateur d'en-têtes CSP gratuit

Le générateur de CSP est un outil en ligne gratuit qui crée des en-têtes Content Security Policy pour protéger votre site web contre les attaques XSS, le clickjacking et d'autres attaques par injection.

Oui, il est entièrement gratuit et ne nécessite aucune inscription. Toute la génération de politiques se fait côté client dans votre navigateur.

Une CSP indique aux navigateurs quelles sources de contenu sont fiables, bloquant ainsi les scripts malveillants et réduisant le risque d'attaques par cross-site scripting (XSS) sur votre site web.

Absolument. Le générateur d'en-têtes CSP traite tout côté client dans votre navigateur. Aucune donnée n'est envoyée ni stockée sur un serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, le générateur d'en-têtes CSP est entièrement adaptatif et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur tout appareil doté d'un navigateur web moderne, sans aucune application à télécharger.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le générateur d'en-têtes CSP dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a ni page d'inscription ni restriction d'utilisation.

Saisissez simplement votre texte dans le champ prévu à cet effet, ajustez les paramètres selon vos préférences et l'outil le traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le générateur d'en-têtes CSP fonctionne sur tous les navigateurs modernes, notamment Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Ce sont des mots-clés source CSP qui indiquent au navigateur quel contenu une directive autorise. 'self' n'autorise les ressources que depuis votre propre origine (même schéma, même hôte, même port) : un script-src défini sur 'self' charge donc vos propres scripts mais bloque ceux de tiers. 'none' est la valeur la plus stricte : elle bloque toute source pour cette directive, ce qui explique pourquoi object-src 'none' est une mesure de durcissement courante. 'unsafe-inline' réactive les scripts et styles inline écrits directement dans votre HTML, et 'unsafe-eval' autorise le code basé sur eval() ; les deux sont pratiques mais rouvrent exactement la faille XSS que la CSP est censée fermer, d'où l'intérêt d'utiliser plutôt un nonce ou un hash quand c'est possible. Ce générateur vous permet de cliquer directement ces mots-clés sur chaque directive et montre comment chaque choix fait évoluer votre score de rigueur, afin de visualiser le compromis de sécurité au fil de la construction.

Certaines directives sont tout simplement ignorées lorsque la CSP est transmise via une balise meta HTML au lieu d'un véritable en-tête de réponse HTTP. La directive frame-ancestors, qui empêche le clickjacking en contrôlant qui peut intégrer votre page dans un cadre, ne fonctionne qu'en en-tête car la décision de cadrage intervient avant que le document n'analyse la balise meta. La directive report-uri, utilisée pour collecter les rapports de violation, ainsi que la directive sandbox, sont ignorées en meta pour la même raison. Si vos règles anti-clickjacking ou de reporting semblent ne rien faire, c'est généralement pour cette raison. Partout où vous contrôlez la configuration de votre serveur, privilégiez l'en-tête HTTP. Cet outil signale précisément cette limite dans sa vue Sortie et fournit l'en-tête brut Content-Security-Policy accompagné de blocs de configuration prêts à coller pour Nginx, Apache, Express.js et Next.js, afin que vous puissiez déployer correctement.

Un nonce est un jeton aléatoire à usage unique qui permet de faire confiance à un script inline précis sans ouvrir la porte avec 'unsafe-inline'. Vous ajoutez la valeur 'nonce-{random}' à votre directive script-src, puis vous placez l'attribut nonce correspondant sur la balise script que vous voulez autoriser, par exemple <script nonce="{random}">. Le navigateur n'exécute que les scripts inline portant exactement ce jeton et bloque tout autre script injecté, de sorte qu'un attaquant incapable de deviner la valeur ne peut pas exécuter sa charge utile. La règle essentielle est que le nonce doit être généré à nouveau à chaque chargement de page, jamais codé en dur ni réutilisé. Ce générateur crée un nonce cryptographiquement fort avec l'API crypto.getRandomValues() du navigateur et vous fournit la chaîne 'nonce-...' déjà formatée à copier à la fois dans votre politique et dans vos balises script.

Une politique trop stricte bloque silencieusement des scripts, styles ou appels API légitimes, ce qui rend risqué le déploiement direct d'une CSP en mode strict. Le mode rapport seul résout ce problème. En envoyant la politique via l'en-tête Content-Security-Policy-Report-Only au lieu de Content-Security-Policy, le navigateur ne bloque rien : il se contente de consigner chaque violation qu'il aurait provoquée, en envoyant les détails à votre point de terminaison report-uri. Cela permet d'observer le trafic réel, de repérer quelles ressources déclenchent la politique, et de corriger les règles avant qu'un utilisateur ne voie une page cassée. Le déploiement prudent standard consiste à démarrer en rapport seul, à surveiller jusqu'à ce que les rapports se taisent, puis à basculer vers l'en-tête d'application stricte. Utilisez le générateur de cet outil pour assembler et ajuster la politique, et sa vue Test pour vérifier des URL précises face à vos directives avant de passer en application stricte.

Partir d'une base sensée est plus rapide et plus sûr que de tout construire à partir de zéro, et le bon point de départ dépend de votre infrastructure. Le préréglage WordPress est plus permissif car les thèmes et extensions injectent fréquemment des scripts et styles inline ; il autorise donc 'unsafe-inline' et des sources d'intégration courantes comme YouTube et Vimeo, afin d'éviter de casser le tableau de bord et le site public. Le préréglage SPA convient aux applications React, Vue ou Angular : il garde script-src strict sur 'self', ajoute worker-src pour les workers blob, et ouvre connect-src pour votre API et vos points de terminaison WebSocket. Il existe aussi des préréglages Strict, Modéré et Souple couvrant toute la gamme, du plus verrouillé au plus permissif. Appliquez le préréglage le plus proche dans cet outil, puis affinez ou étendez les directives individuelles selon vos véritables domaines tiers, pendant que le score de rigueur en direct vous guide vers une politique plus stricte.