Generador de Cabecera CSP

Siete: default-src, script-src, style-src, img-src, font-src, connect-src y frame-ancestors. Escribes los orígenes permitidos de cada una y la herramienta las une con punto y coma en una cabecera lista para usar.

Sí. Las palabras clave de CSP van entre comillas simples, como 'self', 'none' o 'unsafe-inline'; los dominios, no. La herramienta une exactamente lo que escribes, sin añadir comillas ni validar la sintaxis.

Parcialmente. Una etiqueta meta http-equiv admite casi todas las directivas, pero ignora frame-ancestors, report-uri y sandbox. Si necesitas frame-ancestors, tiene que enviarse como cabecera HTTP desde el servidor.

Empieza con la cabecera Content-Security-Policy-Report-Only, que no bloquea nada y solo avisa de lo que se bloquearía. Revisa los avisos en la consola del navegador, ajusta las directivas y, cuando no haya falsos positivos, cámbiala a Content-Security-Policy.

Debilita mucho la protección contra XSS, porque permite scripts y estilos escritos directamente en la página. Si puedes, mueve el código a archivos externos o usa nonces o hashes. A veces es inevitable con código heredado, pero es mejor no empezar por ahí.

Es la directiva de respaldo: se aplica a todos los tipos de recurso que no tengan su propia directiva. Una base habitual y restrictiva es default-src 'self', y a partir de ahí se abren excepciones para lo que necesites.