Constructor de políticas CSP
Construya una política Content-Security-Policy directiva por directiva, añadiendo las fuentes permitidas para cada una, y obtenga la cadena final lista para pegar en una cabecera HTTP o en una etiqueta meta. Todo se construye localmente en su navegador.
Cómo funciona
En lugar de escribir a mano una cadena CSP compleja, añada las directivas que necesite (script-src, style-src, img-src...) y, para cada una, las fuentes permitidas (palabras clave como 'self', dominios, esquemas como data:). La herramienta ensambla después la cadena final en el formato que espera la cabecera Content-Security-Policy.
¿Dónde pegar la política generada?
Lo más robusto es enviarla como cabecera HTTP Content-Security-Policy desde su servidor o su CDN. También puede colocarse mediante una etiqueta <meta http-equiv="Content-Security-Policy" content="..."> en el <head>, con algunas limitaciones (ciertas directivas como frame-ancestors no se tienen en cuenta ahí).
¿Hay que incluir siempre default-src?
Es muy recomendable: default-src sirve de valor de reserva para cualquier directiva de tipo recurso que no haya definido explícitamente, evitando que quede totalmente sin restricciones por descuido.
Privacidad: la construcción se realiza íntegramente en su navegador; no se envía ningún dato a un servidor.