Saltar al contenido
ITDPlataforma de seguridad web
ITD
Buscar

Generador / Verificador de CSP

Pega una sola cabecera CSP de respuesta; incluye el nombre para Report-Only. Esta revisión local de texto admite hasta 16.384 caracteres y 128 directivas. No verifica el funcionamiento ni la seguridad del sitio.

Todo se ejecuta en tu navegador. Tus datos nunca se envían a un servidor.

Usar la herramienta

Envío
No (se procesa en tu navegador)
Almacenamiento
No (se borra al recargar)
API externa
Ninguna
Destino
No se conecta a ningún destino externo
Detalles
  • Lo que introduces se procesa solo en esta página dentro de tu navegador. No se envía al servidor de este sitio ni a servicios externos.
  • No se guarda en el servidor ni en el almacenamiento del navegador. Al cerrar o recargar la página se borra.
  • La carga de la página en sí queda en el registro de acceso (dirección IP, hora, agente de usuario, etc.). Las páginas de herramientas no cargan anuncios ni analítica. Política de privacidad

Pega una CSP arriba para ver el análisis.

Plantilla de política — probar antes de aplicar

Conserva la política existente y prueba los cambios en un entorno controlado. No sustituyas una CSP en uso por la plantilla. Comprueba respuestas reales, páginas principales, inicio de sesión e integraciones; restaura la configuración anterior si es necesario.

default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; form-action 'self'; upgrade-insecure-requests

Cómo usarla

  1. 1

    Pega una sola cabecera CSP de respuesta; incluye el nombre para Report-Only. Esta revisión local de texto admite hasta 16.384 caracteres y 128 directivas. No verifica el funcionamiento ni la seguridad del sitio.

  2. 2

    Cada directiva se analiza y los valores peligrosos se enumeran con su gravedad.

  3. 3

    Conserva la política existente y prueba los cambios en un entorno controlado. No sustituyas una CSP en uso por la plantilla. Comprueba respuestas reales, páginas principales, inicio de sesión e integraciones; restaura la configuración anterior si es necesario.

Por qué importa

CSP ayuda a reducir el impacto de XSS, pero importan las listas de fuentes, la prioridad de directivas y la implementación de nonce/hash. default-src no restringe form-action ni frame-ancestors. Report-Only no bloquea código ni conexiones; comprueba la aplicación obligatoria por separado.

Preguntas frecuentes

Q¿Se envía a algún sitio la política que pego?
A

No. Todo el análisis se ejecuta en tu navegador (JavaScript); tus datos nunca se envían a un servidor.

Q¿Por qué es peligroso unsafe-inline?
A

Permitir código inline de forma amplia puede debilitar la protección. Con nonces, hashes o script strict-dynamic, los navegadores compatibles pueden ignorar unsafe-inline. Esta revisión de texto no verifica aleatoriedad, reutilización de nonces ni coincidencia con el sitio.

Páginas relacionadas