EnglishGerador de cabeçalhos de segurança
Marque os cabeçalhos, informe os domínios externos que o site usa (fontes, analytics, vídeos) e copie a configuração do seu servidor.
Cabeçalhos de segurança do site
Tudo é feito no seu aparelho: nada é enviado para a internet.
Disponível em: 
Gerador de cabeçalhos de segurança: para que serve
Marque os cabeçalhos e informe os domínios externos que o site usa para scripts, estilos, fontes, imagens, conexões e iframes. A ferramenta monta a Content-Security-Policy com 'self', frame-ancestors, base-uri, form-action e object-src 'none', com a opção de modo só relatório para testar antes de bloquear.
A configuração sai pronta para Nginx (add_header always), Apache (.htaccess), arquivo _headers do Netlify e Cloudflare Pages, ou vercel.json.
Como usar
- Escolha o servidor e marque os cabeçalhos.
- Informe os domínios externos que o site usa.
- Copie a configuração e teste com o console do navegador aberto.
Quando usar
- Aumentar a segurança de sites estáticos.
- Proteger o site contra clickjacking.
- Preparar a CSP de um site antes de ativar o bloqueio.
Perguntas frequentes
Para que servem esses cabeçalhos?
Eles dizem ao navegador como se proteger: só usar HTTPS (HSTS), não adivinhar o tipo de arquivo (nosniff), não deixar o site ser aberto dentro de outro site (contra clickjacking), limitar o que vai no Referer e bloquear câmera, microfone e localização que o site não usa.
A Content-Security-Policy pode quebrar o site?
Pode, se faltar algum domínio que o site usa (Google Fonts, Analytics, YouTube, CDN). Comece com o modo só relatório (Report-Only), abra o site com o console do navegador aberto, adicione os domínios que aparecerem bloqueados e só depois troque para o modo que bloqueia.
Cuidado com o HSTS?
Sim: depois que o navegador recebe o HSTS, ele só acessa o domínio por HTTPS durante o tempo do max-age. Ative só quando o HTTPS estiver funcionando em todo o domínio, e só marque subdomínios se todos tiverem HTTPS.
Como conferir se funcionou?
Abra o site, vá em Ferramentas do desenvolvedor, aba Rede, clique na página e veja os cabeçalhos da resposta. Também há verificadores online de cabeçalhos de segurança.
É grátis mesmo?
Sim, 100% grátis. Sem cadastro, sem assinatura e sem limite de uso. Todas as ferramentas do Ferramentas123 são gratuitas e rodam direto no seu navegador.