Generatore di header di sicurezza
Seleziona gli header, indica i domini esterni che il sito usa (font, analytics, video) e copia la configurazione del tuo server.
Come si usaHeader di sicurezza del sito
Disponibile in: 
Generatore di header di sicurezza: a cosa serve
Seleziona gli header e indica i domini esterni che il sito usa per script, stili, font, immagini, connessioni e iframe. Lo strumento crea la Content-Security-Policy con 'self', frame-ancestors, base-uri, form-action e object-src 'none', con l’opzione della modalità solo report per provare prima di bloccare.
La configurazione esce pronta per Nginx (add_header always), Apache (.htaccess), il file _headers di Netlify e Cloudflare Pages, oppure vercel.json.
Come si usa
- Scegli il server e seleziona gli header.
- Indica i domini esterni che il sito usa.
- Copia la configurazione e prova con la console del browser aperta.
Quando usarlo
- Aumentare la sicurezza dei siti statici.
- Proteggere il sito dal clickjacking.
- Preparare la CSP di un sito prima di attivare il blocco.
Domande frequenti
A cosa servono questi header?
Dicono al browser come proteggersi: usare solo HTTPS (HSTS), non indovinare il tipo di file (nosniff), non lasciare che il sito venga aperto dentro un altro sito (contro il clickjacking), limitare ciò che viene inviato nel Referer e bloccare fotocamera, microfono e posizione che il sito non usa.
La Content-Security-Policy può rompere il sito?
Può, se manca qualche dominio che il sito usa (Google Fonts, Analytics, YouTube, CDN). Inizia con la modalità solo report (Report-Only), apri il sito con la console del browser aperta, aggiungi i domini che risultano bloccati e solo dopo passa alla modalità che blocca.
Attenzione all’HSTS?
Sì: dopo che il browser riceve l’HSTS, accede al dominio solo tramite HTTPS per tutto il tempo del max-age. Attivalo solo quando l’HTTPS funziona su tutto il dominio, e seleziona i sottodomini solo se tutti hanno HTTPS.
Come verifico che abbia funzionato?
Apri il sito, vai negli Strumenti per sviluppatori, scheda Rete, clicca sulla pagina e guarda gli header della risposta. Esistono anche verificatori online degli header di sicurezza.
È davvero gratis?
Sì, 100% gratis. Senza registrazione, senza abbonamento e senza limiti d’uso. Tutti gli strumenti di Tools123 sono gratuiti.