Générateur de Content Security Policy

Un en-tête HTTP qui contrôle quelles ressources un navigateur peut charger, empêchant ainsi les attaques XSS et par injection de données.

Le mode appliqué bloque les violations. Le mode rapport seul les autorise mais les signale, ce qui est utile pour faire des tests avant la mise en application.

unsafe-inline autorise des scripts en ligne exploitables. unsafe-eval permet l'exécution de code dynamique. Tous deux affaiblissent considérablement la protection de la CSP.

Oui, le Constructeur de Content Security Policy est 100 % gratuit, sans inscription, sans frais cachés et sans limite d'utilisation. Tout le traitement se fait localement dans votre navigateur, garantissant une confidentialité totale.

Oui, le Constructeur de Content Security Policy est entièrement responsive et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur n'importe quel appareil doté d'un navigateur web moderne, sans aucune application à télécharger.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le Constructeur de Content Security Policy dans votre navigateur et utilisez-le immédiatement. Il n'y a ni barrière d'inscription ni restriction d'utilisation.

Saisissez simplement vos données dans le champ prévu, ajustez les paramètres selon vos préférences, et l'outil les traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le Constructeur de Content Security Policy fonctionne dans tous les navigateurs modernes, dont Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

default-src est la directive de repli : elle définit les sources autorisées pour tout type de ressource que vous n'avez pas configuré explicitement, si bien que la verrouiller sur 'none' ou 'self' crée une base de refus par défaut. script-src est une directive spécifique qui contrôle uniquement d'où le JavaScript peut être chargé, et elle prime sur default-src pour les scripts. Comme les scripts sont le principal vecteur du cross-site scripting, vous voudrez presque toujours un script-src strict même si default-src est déjà restrictif — par exemple default-src 'self' avec un script-src 'self' distinct auquel vous ajoutez un nonce. D'autres directives par type de ressource, comme style-src, img-src et connect-src, fonctionnent de la même façon, en restreignant un type de ressource pendant que default-src couvre le reste. Ce générateur vous permet de définir default-src une seule fois et de ne surcharger les directives individuelles que là où c'est nécessaire.

Sous Nginx, vous ajoutez la politique dans un bloc server ou location avec add_header Content-Security-Policy "votre politique ici" always ; le drapeau always garantit que l'en-tête est envoyé même sur des réponses d'erreur comme les 404. Sous Apache, vous utilisez Header set Content-Security-Policy "votre politique ici" dans le VirtualHost concerné ou dans un .htaccess, avec mod_headers activé. Dans les deux cas, la valeur est la chaîne de directives complète, et vous devez recharger le serveur pour que cela prenne effet. Reproduire la syntaxe exacte à la main est source d'erreurs, c'est pourquoi ce générateur crée des extraits prêts à copier-coller pour Nginx, Apache, Express.js et Next.js à partir de la politique que vous configurez. Construisez vos directives visuellement, choisissez votre serveur, et collez le bloc généré directement dans votre configuration.

Une CSP peut être délivrée de deux façons : comme en-tête de réponse HTTP Content-Security-Policy ou comme balise HTML <meta http-equiv="Content-Security-Policy"> dans l'en-tête de la page. La méthode par balise meta est pratique lorsque vous ne pouvez pas modifier la configuration du serveur, mais la spécification ignore volontairement certaines directives dans ce contexte. frame-ancestors, report-uri, report-to et sandbox ne fonctionnent que lorsqu'ils sont envoyés comme un véritable en-tête HTTP, car ils doivent être connus avant le rendu de la page ou concernent des rapports au niveau de la réponse. Si la protection contre le clickjacking compte pour vous, frame-ancestors doit provenir de l'en-tête, pas de la balise meta. Ce générateur vous permet de basculer entre les formats en-tête et meta et vous avertit des directives supprimées en mode meta, afin que vous n'expédiiez pas une politique qui perd silencieusement sa protection anti-clickjacking.

Chaque modification recalcule un score de rigueur sur 100, noté Faible, Correct, Bon ou Excellent. Le score valorise des choix réellement protecteurs plutôt que la simple présence d'une politique. Vous gagnez le plus de points pour un default-src restrictif ('none' fait mieux que 'self'), un script-src sans les mots-clés unsafe-inline ou unsafe-eval, object-src 'none', et un frame-ancestors défini. Ajouter base-uri, form-action, un style-src propre et d'autres directives de restriction fait encore progresser le chiffre, tandis que les sources en wildcard et les mots-clés unsafe le maintiennent bas. Activer le mode report-only fait légèrement baisser le score, puisqu'un en-tête report-only n'offre aucun blocage réel tant que vous n'appliquez pas la politique. L'onglet Analyse détaille précisément ce qui détermine votre score, afin que vous puissiez voir quels points faibles corriger pour passer de Bon à Excellent.

Un nonce est un jeton aléatoire que votre serveur génère à chaque chargement de page et place à la fois dans la CSP et sur chaque balise <script> de confiance ; le navigateur n'exécute que les scripts portant le nonce correspondant. Un hachage fonctionne de façon similaire mais identifie un script inline précis par son empreinte sha256, sans qu'un jeton par requête soit nécessaire. Les deux vous permettent de conserver les scripts inline indispensables tout en supprimant 'unsafe-inline', qui autoriserait sinon l'exécution de n'importe quel script inline injecté et annulerait votre protection XSS. Associer un nonce à 'strict-dynamic' permet aussi aux scripts de confiance de charger leurs propres dépendances sans devoir mettre en liste blanche chaque domaine. Ce générateur propose des valeurs de source de type nonce et sha256 en modèle, et recommande de passer de unsafe-inline à une approche basée sur un nonce ou un hachage. Configurez ici script-src avec un espace réservé pour nonce, puis reliez le vrai jeton côté serveur.