Gerador de CSP

Crie um cabeçalho Content-Security-Policy passo a passo. Comece por uma política estrita baseada em nonce, adicione os anfitriões de que as suas páginas precisam e copie o cabeçalho com excertos para Nginx, Apache e etiqueta meta.

Começar a verificação

Funciona no seu navegador
Classificado à medida que cria

Pontos de partida

Apresentamos o Vigilbase OS

O sistema operativo da cibersegurança.

Ligue as ferramentas de segurança que já paga. Crie painéis personalizados em minutos, com todos os registos e eventos auditáveis e pesquisáveis num único lugar.

Começar agora Explorar Cloudflare gerido

one.vigilbase.com/acme.examplePré-visualização · dados de exemplo

Sistema de segurança da Acme

3 fontes ligadas

A receber dados

Cloudflare

Ameaças mitigadas

AWS

Alterações de root e IAM

GitHub

Alterações de segurança da organização

events | where severity >= medium | last 24h

Agente VigilA trabalhar

Investigar Pico de credential stuffing contra /login
Corrigir Regra de limite de taxa aplicada no edge
Verificar Tráfego de ataque reduzido 98% em cinco minutos

O que é um gerador de CSP?

Um gerador de CSP monta um cabeçalho Content-Security-Policy a partir das suas respostas sobre a origem dos scripts, estilos, imagens e frames que as páginas carregam. Este parte da CSP estrita descrita pela especificação CSP Level 3 (scripts permitidos por nonce ou hash com 'strict-dynamic', object-src 'none' e base-uri 'none') e classifica o resultado com as mesmas regras do avaliador de CSP.

Implemente primeiro uma nova política como Content-Security-Policy-Report-Only, leia os relatórios, corrija o que indicarem e depois aplique-a.

Como implementar uma Content-Security-Policy

Uma política só protege quando os navegadores a aplicam e pode causar falhas em páginas que carreguem algo que não permite. Implemente-a por esta ordem.

1. Escolha como os scripts são considerados fiáveis

Os nonces são adequados para páginas geradas a cada pedido: a sua aplicação adiciona um novo valor aleatório ao cabeçalho e a cada etiqueta script. Os hashes são adequados para páginas estáticas cujos scripts inline nunca mudam. Uma lista de permissões de anfitriões é a opção mais fraca.

2. Adicione os anfitriões de que as suas páginas precisam

Indique os anfitriões de imagens, tipos de letra, API e frames que as suas páginas usam. Com 'strict-dynamic', os scripts carregados por um script fiável não precisam de uma entrada de anfitrião.

3. Comece em Report-Only

Envie a política como Content-Security-Policy-Report-Only com um endpoint de relatórios, corrija o que for comunicado e depois mude para Content-Security-Policy.

4. Envie-a como cabeçalho de resposta

Uma etiqueta meta não pode conter frame-ancestors, report-uri, report-to nem sandbox, nem entregar uma política Report-Only. Na Cloudflare, uma regra de transformação de cabeçalhos de resposta pode definir um cabeçalho baseado em hash ou lista de permissões para uma zona; um nonce tem de ser gerado pela sua aplicação para cada resposta.

Verificações relacionadas e próximos passos

Avaliador de CSP
Cole uma política existente ou obtenha uma a partir de um URL e classifique-a.
Verificador de Cabeçalhos de Segurança HTTP
Verifique se o cabeçalho que implementou está ativo, juntamente com nove outros cabeçalhos de segurança.
Verificador de HSTS
Verifique o Strict-Transport-Security e a elegibilidade para preload HSTS.
Cloudflare WAF
Como funcionam as regras do WAF Cloudflare e como a Vigilbase as configura e afina com controlo de alterações.

Cloudflare gerido

Mantenha a Cloudflare configurada, monitorizada e a melhorar. A Vigilbase trata das alterações acordadas e da resposta a incidentes, com opções de cobertura Core, Priority e Critical.

Explorar Cloudflare gerido

SOC gerido

SOC gerido nas ferramentas de segurança que já paga. O agente Vigil investiga, os analistas tratam das exceções e a cobertura segue o seu nível de SLA.

Explorar SOC gerido

Enviar um e-mail a um especialista em segurança

Fontes

Perguntas

Perguntas frequentes sobre o gerador de CSP

Devo usar um nonce ou um hash?

Use um nonce quando as páginas são geradas a cada pedido, porque a sua aplicação pode adicionar um novo valor aleatório ao cabeçalho e a cada etiqueta script. Use hashes quando as páginas são estáticas e os seus scripts inline não mudam: qualquer alteração a um script altera o respetivo hash.Guia prático de proteção de sites

O que faz 'strict-dynamic'?

Permite que os scripts carregados por um script fiável (com nonce ou hash) também sejam executados, sem indicar os respetivos anfitriões. Os navegadores compatíveis ignoram as origens de anfitrião e de esquema, 'self' e 'unsafe-inline' para scripts, pelo que https: e 'unsafe-inline' podem permanecer na política como alternativas para navegadores antigos.

Como gero um nonce CSP?

Para cada resposta, crie pelo menos 16 bytes aleatórios com um gerador de números aleatórios criptograficamente seguro e codifique-os em base64. Coloque o valor no cabeçalho como 'nonce-VALUE' e no atributo nonce de cada etiqueta script. Nunca reutilize um nonce nem o construa a partir de dados previsíveis.

Posso colocar a política numa etiqueta meta?

Só em parte. Uma etiqueta meta não pode conter frame-ancestors, report-uri, report-to nem sandbox, não pode entregar uma política Report-Only e não se aplica ao conteúdo que surge antes dela na página. O excerto da etiqueta meta omite essas diretivas.

A política vai causar falhas no meu site?

Pode, e é por isso que o gerador oferece o modo Report-Only. Os navegadores comunicam então o que a política bloquearia, sem o bloquear. Corrija as origens comunicadas e depois mude o cabeçalho para Content-Security-Policy.Verificador de Cabeçalhos de Segurança HTTP

O que introduzo fica guardado?

Não. O gerador é executado no seu navegador e nada do que introduz é enviado para a Vigilbase.Privacidade e tratamento de dados