Генератор заголовков безопасности
Отметьте заголовки, укажите внешние домены, которые использует сайт (шрифты, аналитика, видео), и скопируйте конфигурацию для вашего сервера.
Как пользоватьсяЗаголовки безопасности сайта
Доступно на: 
Генератор заголовков безопасности: для чего нужен
Отметьте заголовки и укажите внешние домены, которые сайт использует для скриптов, стилей, шрифтов, изображений, соединений и iframe. Инструмент собирает Content-Security-Policy с 'self', frame-ancestors, base-uri, form-action и object-src 'none', с возможностью режима только отчёта, чтобы протестировать перед блокировкой.
Конфигурация готова для Nginx (add_header always), Apache (.htaccess), файла _headers для Netlify и Cloudflare Pages или vercel.json.
Как пользоваться
- Выберите сервер и отметьте заголовки.
- Укажите внешние домены, которые использует сайт.
- Скопируйте конфигурацию и проверьте с открытой консолью браузера.
Когда использовать
- Повышение безопасности статических сайтов.
- Защита сайта от clickjacking.
- Подготовка CSP сайта перед включением блокировки.
Частые вопросы
Для чего нужны эти заголовки?
Они сообщают браузеру, как защищаться: использовать только HTTPS (HSTS), не угадывать тип файла (nosniff), не позволять открывать сайт внутри другого сайта (против clickjacking), ограничивать то, что передаётся в Referer, и блокировать камеру, микрофон и геолокацию, которые сайт не использует.
Может ли Content-Security-Policy сломать сайт?
Может, если не хватает какого-то домена, который использует сайт (Google Fonts, Analytics, YouTube, CDN). Начните с режима только отчёта (Report-Only), откройте сайт с открытой консолью браузера, добавьте домены, которые окажутся заблокированными, и только потом переключитесь на режим блокировки.
Нужна ли осторожность с HSTS?
Да: после получения HSTS браузер заходит на домен только по HTTPS в течение max-age. Включайте только когда HTTPS работает на всём домене, и отмечайте поддомены только если на всех есть HTTPS.
Как проверить, что всё сработало?
Откройте сайт, перейдите в инструменты разработчика, вкладка Сеть, нажмите на страницу и посмотрите заголовки ответа. Есть также онлайн-проверки заголовков безопасности.
Правда бесплатно?
Да, 100% бесплатно. Без регистрации, без подписки и без ограничений использования. Все инструменты Tools123 бесплатны.