منشئ سياسة CSP
أنشئ سياسة Content-Security-Policy توجيهًا توجيهًا بإضافة المصادر المسموح بها لكل منها، ثم احصل على السلسلة النهائية الجاهزة للصقها في ترويسة HTTP أو في وسم meta. يتم كل شيء محليًا في متصفحك.
كيف يعمل
بدلًا من كتابة سلسلة CSP معقدة يدويًا، أضف التوجيهات التي تحتاجها (script-src وstyle-src وimg-src...) ولكل منها المصادر المسموح بها (كلمات مفتاحية مثل 'self' أو نطاقات أو مخططات مثل data:). ثم تجمّع الأداة السلسلة النهائية بالتنسيق الذي تتوقعه ترويسة Content-Security-Policy.
أين ألصق السياسة المولَّدة؟
الأكثر متانة هو إرسالها كترويسة HTTP باسم Content-Security-Policy من خادمك أو شبكة توصيل المحتوى (CDN). ويمكن أيضًا وضعها عبر وسم <meta http-equiv="Content-Security-Policy" content="..."> داخل <head>، مع بعض القيود (فبعض التوجيهات مثل frame-ancestors لا تؤخذ بعين الاعتبار هناك).
هل يجب تضمين default-src دائمًا؟
يُوصى بذلك بشدة: يعمل default-src كقيمة احتياطية لأي توجيه من نوع الموارد لم تحدده صراحةً، فيمنع بقاءه بلا أي تقييد بسبب السهو.
الخصوصية: يتم الإنشاء بالكامل في متصفحك — ولا تُرسل أي بيانات إلى خادم.