GUIDE
CSPヘッダーの設計
Content-Security-Policyは、ブラウザが読み込めるスクリプト、スタイル、画像、接続先などを制限するセキュリティヘッダーです。
サイトに合わないCSPをいきなり強制すると機能が壊れるため、まずContent-Security-Policy-Report-Onlyで確認する方法があります。
FREE SECURITY TOOL
CSP Header Builder
Content-Security-Policyヘッダーをフォームから組み立てます。
実際に適用する前にReport-Onlyで検証し、利用中の外部リソースを確認してください。
FAQ
よくある質問
このCSPをそのまま本番適用できますか？
サイトごとに必要な外部ドメインが異なるため、検証してから適用してください。
nonceやhash指定は作れますか？
この簡易ビルダーは基本的なsource指定を中心にしています。
RELATED
関連ツール
GUIDE
CSP Header Builderの使い方
Content-Security-Policyヘッダーをフォームから組み立てます。
入力する
対象となる値や設定を入力欄へ入力します。サンプル入力がある場合は、まず例を使って動作を確認できます。
変換・計算する
実行ボタンを押して結果を確認します。エラーが表示された場合は入力形式や必須項目を見直してください。
結果を確認する
出力内容を確認し、必要に応じてコピーして設定作業や開発作業に利用します。重要な用途では公式仕様でも再確認してください。
EXAMPLE
入力例と出力例
入力例
default-src 'self'; script-src 'self' https://cdn.example.com出力例
Content-Security-Policyヘッダー文字列NOTES
利用時の注意事項
確認ポイント
CSPを厳しくしすぎるとサイト機能が動かなくなる場合があります。Report-Onlyでの事前検証も検討してください。
このツールの主要な処理はブラウザ内で実行されます。機密情報を扱う場合は、利用端末やブラウザ拡張機能を含むご自身の環境にもご注意ください。
FAQ
よくある質問
CSPを設定すればXSS対策は十分ですか？
CSPは多層防御の一つです。入力検証、適切なエスケープ、依存ライブラリ管理など他の対策と組み合わせてください。
入力内容はサーバーへ送信されますか？
このツールの主要な変換・計算処理はブラウザ内で行い、入力内容を当サイトのアプリケーションAPIへ送信する機能はありません。ブラウザ拡張機能など第三者の環境は対象外です。