CSP-Generator
Content-Security-Policy erstellen und bestehende prüfen.
- Content-Security-Policy per Klick
- Vorlagen für GA4, GTM, Google Fonts, YouTube & Co.
- Validator für bestehende Policies
Hat dir das Tool geholfen?
☕️ Buy Me a CoffeeDu hast keine Ahnung, wie man das interpretiert? Dann meld dich einfach.
Häufige Fragen
Was ist eine Content-Security-Policy?
Ein HTTP-Header, der festlegt, von welchen Quellen eine Seite Skripte, Styles, Bilder, Frames und anderes laden darf. Gelangt fremder Code auf die Seite, etwa über eine Sicherheitslücke, wird er blockiert.
Warum sollte ich erst Report-Only nutzen?
Eine zu strenge Policy blockiert schnell Tracking, Schriften, Videos oder Zahlungsanbieter. Mit Content-Security-Policy-Report-Only meldet der Browser Verstöße nur in der Konsole, ohne etwas zu blockieren. Erst wenn alles sauber läuft, schaltest du die Policy scharf.
Was ist an unsafe-inline so schlimm?
Damit erlaubst du jedes Inline-Skript auf der Seite, also auch eingeschleusten Code. Der Schutz vor Cross-Site-Scripting ist dann weitgehend weg. Besser sind Nonces oder Hashes für die Inline-Skripte, die du wirklich brauchst.
Kann ich die CSP auch per Meta-Tag setzen?
Ja, aber eingeschränkt. Im Meta-Tag wirken frame-ancestors, report-uri und sandbox nicht, und Report-Only geht gar nicht. Der HTTP-Header ist der bessere Weg.
Wird meine Policy irgendwo gespeichert?
Nein, Generator und Validator laufen komplett in deinem Browser.
Über den Autor
Ruslan Julbarissow ist seit 2008 selbstständig und berät seither Agenturen, Konzerne und E-Commerce-Shops, wenn es um das Thema SEO geht.
Seine Leidenschaft sind Problemkinder, die etwas Gehirnschmalz statt eines Button-Klicks eines Tools erfordern.
Feedback, Anregungen, Beleidigungen? Her damit!
Das Ganze soll hier keine Einbahnstraße sein. Um die Tools stetig zu verbessern, hätte ich gerne konstruktives Feedback. Als Dank gibt es auch einen dofollow-Link.
Aber: Das bedeutet nicht, dass ihr hier Backlinks für eure Hundesalon-Kunden platzieren sollt. Schreibt etwas mit Mehrwert, dann wird der Kommentar auch freigeschaltet.