安全响应头生成器

安全响应头生成器: 用途

勾选响应头，并填写网站用于脚本、样式、字体、图片、连接和 iframe 的外部域名。工具会生成包含 self、frame-ancestors、base-uri、form-action 和 object-src none 的 Content-Security-Policy，并提供仅报告模式，方便在拦截之前先测试。

配置可直接用于 Nginx（add_header always）、Apache（.htaccess）、Netlify 和 Cloudflare Pages 的 _headers 文件，或 vercel.json。

使用方法

1. 选择服务器并勾选响应头。
2. 填写网站使用的外部域名。
3. 复制配置，并在打开浏览器控制台的情况下测试。

使用场景

• 提高静态网站的安全性。
• 保护网站免受点击劫持。
• 在启用拦截前先准备好网站的 CSP。

常见问题

这些响应头有什么用？

它们告诉浏览器如何保护自己：只使用 HTTPS（HSTS）、不去猜测文件类型（nosniff）、不允许网站被嵌入其他网站（防点击劫持）、限制 Referer 中携带的信息，并禁用网站用不到的摄像头、麦克风和定位。

Content-Security-Policy 会让网站出问题吗？

可能，如果漏掉了网站使用的某个域名（Google Fonts、Analytics、YouTube、CDN）。先用仅报告模式（Report-Only），打开浏览器控制台访问网站，把被拦截的域名加进去，最后再切换为拦截模式。

HSTS 要小心吗？

要：浏览器收到 HSTS 后，会在 max-age 的时间内只通过 HTTPS 访问该域名。只有当整个域名的 HTTPS 都正常工作时再启用，并且只有所有子域名都有 HTTPS 时才勾选包含子域名。

怎样检查是否生效？

打开网站，进入开发者工具的“网络”标签，点击该页面，查看响应头。也有在线的安全响应头检测工具。

真的免费吗？

是的，100%免费。无需注册，无需订阅，不限使用次数。所有工具：Tools123是免费的。

相似工具