CSP ヘッダージェネレーター

使い方

1. プリセットを選びます。Strict は OWASP の「strict CSP」推奨に対応し、Empty は空のポリシーから始めます。
2. モードを切り替えます。最初は Report-Only にして、違反を計測しつつ実ユーザーをブロックしないようにします。
3. 各ディレクティブで、キーワードチップ（‘self’、‘strict-dynamic’、‘none’）やスキームチップ（https:、data:）をクリック、もしくはホスト・パスを入力して Enter を押します。
4. ハッシュ計算機で特定のインラインスクリプト / スタイルを許可するためのハッシュを生成。+ nonce ボタンでリクエストごとの nonce を追加できます。
5. 出力タブを切り替えて必要な形式（HTTP ヘッダー、HTML <meta>、Express (helmet)、Nginx add_header）をコピー。

Strict CSP のスタート構成

Strict プリセットは三本柱です：script-src に ‘self’ ‘strict-dynamic’、object-src に ‘none’、base-uri に ‘self’。これに nonce か hash を組み合わせれば、典型的な反射型・蓄積型 XSS のほとんどを防げます。フィッシング系の悪用を抑えたければ、form-action を ‘self’、frame-ancestors を ‘none’ にしましょう。

よくある落とし穴

• ’none’ は単独でしか使えません。 他のソースと併記するとそのディレクティブごと無視されます。
• frame-ancestors は HTTP ヘッダー専用。 <meta> 経由では無視されます。report-uri・report-to・sandbox も同様です。
• hash / nonce があると ‘unsafe-inline’ は無効化されます。 モダンブラウザは安全側を優先します。
• default-src は必ず定義すること。 未指定の fetch 系ディレクティブは default-src をフォールバックします。これがないと将来追加されたディレクティブにフォールバックが効きません。
• カスタムホストにセミコロンは入れられません。 セミコロンはポリシー全体を切ってしまいます。

Hash と Nonce の使い分け

静的なインライン内容（解析タグ、クリティカル CSS、SSR で出力される共通スクリプト）は hash を使います。静的 HTML やエッジキャッシュとも相性がよく、リクエストごとの値を必要としません。

動的にレンダリングされる内容は nonce です。サーバーがヘッダーに ‘nonce-XYZ’ を埋め込み、レンダリングする全 <script nonce=“XYZ”> に同じ値を付与します。‘strict-dynamic’ と組み合わせれば、信頼されたスクリプトの子スクリプトも自動的に信頼され、巨大なホスト許可リストを保守する必要がなくなります。

デプロイ早見表

• Nginx：Nginx タブの内容を server ブロックに貼って reload。always はエラー応答にもヘッダーを付けます。
• Apache：.htaccess や httpd.conf に Header always set Content-Security-Policy ”…”。
• Express / Node：helmet スニペットを貼り付け、useDefaults を必ず false にして自分のポリシーが helmet デフォルトと暗黙にマージされないようにします。
• Cloudflare Pages / Vercel / Netlify：HTTP ヘッダー欄をそれぞれのヘッダー設定（_headers、vercel.json、netlify.toml）に貼ります。