Crei un header Content-Security-Policy con le fonti consentite

Un header Content-Security-Policy indica al browser quali posizioni possono fornire script, stili, immagini, font, frame e altre risorse. Questo generatore trasforma righe strutturate di direttive in un unico valore correttamente separato, rilevando nomi sconosciuti, duplicati, separatori pericolosi e valori mancanti. È utile quando una policy viene composta tramite uno strumento di distribuzione, una schermata di configurazione, una checklist di sicurezza o un modello applicativo e Lei desidera un risultato prevedibile senza unire frammenti manualmente o accettare per errore una direttiva scritta male.

Descriva la policy tramite righe di direttive

Inserisca una riga per ogni direttiva che intende inviare. Ogni riga contiene il nome della direttiva e un elenco ordinato di espressioni di origine o token. Il generatore converte i nomi in minuscolo, elimina gli spazi esterni da ogni fonte, conserva l’ordine di righe e fonti e unisce le direttive con punti e virgola.

Non inventa direttive di ripiego e non amplia silenziosamente la policy. È importante, perché omissione e autorizzazione hanno effetti di sicurezza diversi. Se manca img-src può essere applicata default-src, mentre un carattere jolly aggiuntivo può consentire più posizioni del previsto.

Consideri ogni fonte un singolo token CSP e mantenga gli apici di parole come 'self' e 'none'. Fornisca schemi come data: solo quando l’applicazione ne ha davvero bisogno. Il risultato è il valore completo, non il nome dell’header, quindi può assegnarlo direttamente a Content-Security-Policy nella configurazione del server o edge.

La convalida rileva gli errori strutturali

Il generatore accetta soltanto nomi di direttive CSP riconosciuti e segnala un errore di input quando un nome è sconosciuto. In questo modo individua refusi che il browser potrebbe ignorare, lasciando una categoria di risorse meno limitata del previsto. Anche le direttive duplicate vengono respinte, perché una sola riga esplicita è più semplice da controllare ed evita sorprese.

Punti e virgola, virgole, ritorni a capo e spazi interni non sono ammessi nei singoli token di fonte, poiché potrebbero dividere o danneggiare la policy. Quasi tutte le direttive richiedono almeno una fonte o un token. upgrade-insecure-requests e block-all-mixed-content, invece, non hanno valore: richiedono un elenco vuoto e vengono emesse solo con il nome. Lo strumento verifica la struttura, non stabilisce se un host sia affidabile o se la policy protegga adeguatamente l’applicazione.

Inoltre non visita siti, non analizza codice, non genera nonce e non prova la compatibilità. Confronti i permessi con il comportamento reale e distribuisca le restrizioni con monitoraggio e ambienti graduali quando un malfunzionamento potrebbe colpire gli utenti.

Distribuisca, esamini e mantenga il risultato

Copi il valore restituito nell’header di risposta Content-Security-Policy. Lo conservi come configurazione insieme all’applicazione, invece di spargere frammenti tra middleware, regole proxy e modelli. Un elenco centralizzato rende verificabili le aggiunte e consente ai sistemi automatici di rigenerare esattamente la stessa stringa a ogni esecuzione.

Parta da default-src come base intenzionale, quindi aggiunga direttive mirate come script-src, style-src, img-src, connect-src, font-src, frame-src, object-src e frame-ancestors quando l’applicazione richiede un comportamento diverso. Preferisca host e schemi espliciti ai caratteri jolly ampi. Se usa hash o nonce, fornisca il token CSP completo tra apici; la creazione del nonce spetta al livello che gestisce ogni richiesta, perché questa capacità è deterministica e non genera valori casuali.

Verifichi la risposta distribuita negli strumenti del browser e valuti prima una modalità di sola segnalazione. I report possono rivelare dipendenze bloccate, ma devono portare a correzioni precise, non a permessi indiscriminati. Riesegua il generatore dopo ogni modifica di configurazione.