Générateur de CSP
CSP Builder
Construit une Content-Security-Policy à partir d’un formulaire guidé ou d’un rapport, et explique chaque directive.
Content-Security-Policy est l’en-tête qui transforme une faille de script inter-sites d’une compromission en un message bloqué dans la console, et c’est aussi l’en-tête le plus souvent livré sous une forme qui ne fait rien. Ceci en construit une directive par directive et explique ce que chacune empêche réellement.
Charger une politique existante
Le repli de toutes les directives de récupération que vous ne fixez pas explicitement.
D’où les scripts peuvent être chargés. La directive qui arrête réellement le XSS.
D’où les feuilles de style peuvent être chargées.
D’où les images peuvent être chargées.
D’où les polices peuvent être chargées.
Où fetch, XHR, WebSocket et EventSource peuvent se connecter.
D’où <audio> et <video> peuvent être chargés.
D’où <object>/<embed> peuvent être chargés. Le mieux est en général 'none'.
D’où les documents d’<iframe> peuvent être chargés.
Qui peut mettre cette page dans un cadre : le remplaçant moderne de X-Frame-Options.
Ce que <base href> peut valoir. Limitez-le à 'self' ou 'none'.
Où les formulaires peuvent être envoyés.
D’où les Workers, SharedWorkers et service workers peuvent être chargés.
D’où le manifeste d’application web peut être chargé.
Réécrit les requêtes de sous-ressources http:// en https://.
Bloque purement et simplement toute sous-ressource http:// (hérité).
- ⚠ Pas de frame-ancestors : ajoutez-la (par exemple 'none' ou 'self') pour contrôler qui peut mettre la page dans un cadre.
- ⚠ Pas de base-uri : ajoutez base-uri 'self' pour empêcher l’injection d’une balise <base>.
Content-Security-Policy
default-src 'self'; script-src 'self'Comment s’en servir
Partez du formulaire ou d’un rapport
Le formulaire guidé demande d’où viennent les scripts, les styles, les images et les connexions. Si vous avez déjà des rapports de violation, collez-les et les sources sont dérivées de ce qui s’est réellement chargé.
Déployez-la d’abord en mode rapport seul
`Content-Security-Policy-Report-Only` journalise les violations sans bloquer. Faites-la tourner une semaine, et les rapports nommeront le contenu tiers dont personne ne se souvenait.
Retirez `unsafe-inline` en dernier, et correctement
Une politique avec `script-src 'unsafe-inline'` ne bloque presque rien. Remplacez-le par un nonce par réponse ou par les empreintes des blocs en ligne — l’outil génère les deux formes.
Questions fréquentes
L’outil teste-t-il mon site ?
Non. Il compose et explique une politique à partir de ce que vous lui dites. Vérifier ce qu’un site en service envoie actuellement est le travail de l’audit des en-têtes de sécurité.
Pourquoi ma politique autorise-t-elle encore les scripts en ligne ?
Un nonce ou une empreinte dans `script-src` est ignoré quand `unsafe-inline` est présent dans la même directive, par compatibilité ascendante. Vous ne pouvez pas garder les deux : c’est le repli qui l’emporte.
`default-src 'self'` suffit-il à lui seul ?
C’est une bonne base, mais plusieurs directives ne retombent pas dessus — `frame-ancestors`, `form-action` et `base-uri` parmi elles. Celles-là doivent être posées explicitement, et cet outil les pose.
À alimenter depuis
Empreinte d’intégrité de sous-ressource
Subresource Integrity Hash
Calcule l’attribut Subresource Integrity (sha256, sha384 ou sha512) pour un script ou une feuille de style que vous collez ou déposez.
Testeur CORS
CORS Tester
Envoie la requête préalable qu’un navigateur enverrait depuis l’origine que vous indiquez, plus un GET portant cette origine, et explique selon les règles du standard Fetch quel en-tête a bloqué la requête.
Audit des en-têtes de sécurité
Security Header Scan
Note les en-têtes HSTS, CSP, de cadrage, de référent et de permissions d’un site et indique ce qu’il faudrait ajouter.
Générateur de mots de passe
Password Generator
Produit des mots de passe aléatoires avec longueur, jeu de caractères et exclusion des caractères ambigus au choix, en série si besoin.
Ensuite
Ces outils acceptent ce que celui-ci produit : le résultat peut y aller directement.
Testeur CORS
CORS Tester
Envoie la requête préalable qu’un navigateur enverrait depuis l’origine que vous indiquez, plus un GET portant cette origine, et explique selon les règles du standard Fetch quel en-tête a bloqué la requête.
Inspecteur d’en-têtes HTTP
HTTP Header Inspector
Interroge une adresse et montre les en-têtes de réponse complets, la chaîne de redirections, les temps de réponse et la compression employée.
Audit des en-têtes de sécurité
Security Header Scan
Note les en-têtes HSTS, CSP, de cadrage, de référent et de permissions d’un site et indique ce qu’il faudrait ajouter.
Empreinte d’intégrité de sous-ressource
Subresource Integrity Hash
Calcule l’attribut Subresource Integrity (sha256, sha384 ou sha512) pour un script ou une feuille de style que vous collez ou déposez.
Contrôle d’un lien suspect
Suspicious URL Check
Examine la forme d’un lien avant que vous ne l’ouvriez — caractères sosies, hôte en adresse IP, ruse de l’arobase, sous-domaines à rallonge, ports inhabituels, raccourcisseurs — et, à la demande, suit ses redirections et cherche la date de création du domaine. Aucune base de réputation.
Encodeur et décodeur Base64
Base64 Encoder & Decoder
Encode et décode en Base64 et en Base64URL, pour du texte comme pour des fichiers, avec un traitement correct de l’UTF-8.