Construtor de política CSP
Monte uma política Content-Security-Policy diretiva por diretiva, adicionando as fontes permitidas para cada uma, e obtenha a string final pronta para colar em um cabeçalho HTTP ou em uma tag meta. Tudo é construído localmente no seu navegador.
Como funciona
Em vez de escrever à mão uma string CSP complexa, adicione as diretivas de que você precisa (script-src, style-src, img-src...) e, para cada uma, as fontes permitidas (palavras-chave como 'self', domínios, esquemas como data:). Em seguida, a ferramenta monta a string final no formato esperado pelo cabeçalho Content-Security-Policy.
Onde colar a política gerada?
O mais robusto é enviá-la como cabeçalho HTTP Content-Security-Policy a partir do seu servidor ou CDN. Ela também pode ser definida por meio de uma tag <meta http-equiv="Content-Security-Policy" content="..."> no <head>, com algumas limitações (certas diretivas, como frame-ancestors, não são consideradas nesse caso).
É sempre necessário incluir default-src?
É fortemente recomendado: default-src serve como valor de reserva para qualquer diretiva de tipo de recurso que você não tenha definido explicitamente, evitando que ela fique totalmente sem restrição por esquecimento.
Privacidade: a construção é feita inteiramente no seu navegador — nenhum dado é enviado a um servidor.