ควรใช้ directives อะไร?

Directives ทั่วไป: default-src, script-src, style-src, img-src, connect-src เริ่มจำกัดและผ่อนคลายตามต้องการ

unsafe-inline หมายความว่าอะไร?

unsafe-inline อนุญาต inline scripts/styles ซึ่งปลอดภัยน้อยกว่า ใช้ nonces หรือ hashes แทนเมื่อเป็นไปได้

ทดสอบ CSP ก่อน deploy อย่างไร?

ใช้ Content-Security-Policy-Report-Only header เพื่อ log violations โดยไม่บล็อก แล้วตรวจสอบ reports

เครื่องมือสร้าง CSP ออนไลน์ฟรี

สร้าง Content Security Policy headers ฟรี ป้องกันเว็บไซต์จากการโจมตี XSS และการแทรกโค้ด ใช้งานง่ายไม่ต้องสมัคร

Quick Start Presets

Import Config

กำหนดค่าดิเรกทีฟ

default-src (ค่าสำรองสำหรับดิเรกทีฟทั้งหมด)

Common Values:

Custom Domain:

Current Values:

'self'

script-src (แหล่งที่มาของ JavaScript)

Common Values:

Custom Domain:

Current Values:

'self'

style-src (แหล่งที่มาของ CSS)

Common Values:

Custom Domain:

Current Values:

'self'

img-src (แหล่งที่มาของรูปภาพ)

Common Values:

Custom Domain:

Current Values:

'self'

font-src (แหล่งที่มาของฟอนต์)

Common Values:

Custom Domain:

Current Values:

'self'

connect-src (Fetch, WebSocket, EventSource)

Common Values:

Custom Domain:

Current Values:

'self'

frame-src (แหล่งที่มาของ iframe)

Common Values:

Custom Domain:

Current Values:

'none'

object-src (Flash, Java, ฯลฯ)

Common Values:

Custom Domain:

Current Values:

'none'

base-uri (แหล่งที่มาของแท็ก base)

Common Values:

Custom Domain:

Current Values:

'self'

form-action (แหล่งที่มาของการส่งฟอร์ม)

Common Values:

Custom Domain:

Current Values:

'self'

CSP ที่สร้างแล้ว

default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self'; font-src 'self'; connect-src 'self'; frame-src 'none'; object-src 'none'; base-uri 'self'; form-action 'self'

ตัวอย่างการใช้งาน

แท็ก HTML Meta:

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self'; font-src 'self'; connect-src 'self'; frame-src 'none'; object-src 'none'; base-uri 'self'; form-action 'self'">

ส่วนหัว HTTP:

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self'; font-src 'self'; connect-src 'self'; frame-src 'none'; object-src 'none'; base-uri 'self'; form-action 'self'

การตั้งค่า Nginx:

add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self'; font-src 'self'; connect-src 'self'; frame-src 'none'; object-src 'none'; base-uri 'self'; form-action 'self'";

การตั้งค่า Apache:

Header set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self'; font-src 'self'; connect-src 'self'; frame-src 'none'; object-src 'none'; base-uri 'self'; form-action 'self'"

เกี่ยวกับ

Content Security Policy (CSP) คือชั้นป้องกันความปลอดภัยที่ช่วยตรวจจับและบรรเทาการโจมตีบางประเภท รวมถึงการโจมตีแบบ Cross-Site Scripting (XSS), การแทรกข้อมูล และ clickjacking เครื่องมือสร้าง CSP ฟรีของเราช่วยให้คุณสร้างและกำหนดค่าส่วนหัว CSP เพื่อป้องกันเว็บไซต์ของคุณจากการโจมตีที่เป็นอันตราย ฟีเจอร์รวมถึงการกำหนดค่าดิเรกทีฟแบบภาพ การสนับสนุนดิเรกทีฟ CSP ทั้งหมด รูปแบบเอาต์พุตหลายรูปแบบ (แท็ก HTML meta, ส่วนหัว HTTP, Nginx, และการตั้งค่า Apache) และการแสดงตัวอย่างและตรวจสอบแบบเรียลไทม์ เริ่มต้นด้วยเทมเพลตที่ตั้งค่าไว้ล่วงหน้าสำหรับการพัฒนา การใช้งานจริง หรือสภาพแวดล้อมที่รองรับ CDN จากนั้นปรับแต่งตามความต้องการด้านความปลอดภัยเฉพาะของคุณ

Content Security Policy คืออะไร?

คุณสมบัติหลัก

การกำหนดค่าดิเรกทีฟแบบภาพ
รองรับดิเรกทีฟ CSP ทั้งหมด
ตัวอย่างการตั้งค่าพร้อมใช้งาน
การตรวจสอบและคำเตือนความปลอดภัยแบบเรียลไทม์
นำเข้า/ส่งออกการตั้งค่าสำหรับทีม
เทมเพลตสำเร็จรูปสำหรับการใช้งานทั่วไป

แนวปฏิบัติด้านความปลอดภัย

เริ่มต้นด้วย Content-Security-Policy-Report-Only เพื่อตรวจสอบการฝ่าฝืน
ใช้โดเมนที่ระบุเจาะจงแทน wildcards เมื่อเป็นไปได้
หลีกเลี่ยงการใช้ 'unsafe-inline' และ 'unsafe-eval' ใน production
ใช้ nonces หรือ hashes สำหรับสคริปต์และสไตล์แบบ inline
ตรวจสอบรายงานการฝ่าฝืน CSP เป็นประจำ

Loading tool...