English

CSP Generator – Content Security Policy Header erstellen

Sichere CSP-Header für deine Website erstellen – mit Templates, Validator und Live-Vorschau.

Content Security Policy (CSP) schützt deine Website vor Cross-Site-Scripting (XSS) und anderen Injection-Angriffen. Unser Generator hilft dir, die richtige CSP für deine Website zu erstellen – ohne die komplexe Syntax manuell schreiben zu müssen.

Wähle ein Template als Ausgangspunkt, passe die Direktiven an deine Bedürfnisse an und kopiere den fertigen Header in deine Website. Mit dem integrierten Validator kannst du auch bestehende CSPs prüfen und verbessern.

Direktiven

Schnell hinzufügen

Live-Vorschau

Was ist Content Security Policy (CSP)?

Content Security Policy ist ein HTTP-Sicherheits-Header, der deinem Browser mitteilt, welche Ressourcen (JavaScript, CSS, Bilder, Fonts) auf deiner Website geladen werden dürfen. CSP ist eine der wirksamsten Maßnahmen gegen Cross-Site-Scripting (XSS) – eine der häufigsten Sicherheitslücken im Web.

Wenn ein Angreifer versucht, bösartigen JavaScript-Code in deine Website einzuschleusen, blockiert eine gut konfigurierte CSP die Ausführung – selbst wenn der Code erfolgreich injiziert wurde.

Warum CSP für WordPress wichtig ist

WordPress-Websites sind besonders häufige Angriffsziele. Eine CSP bietet folgende Vorteile:

Häufige CSP-Fehler vermeiden

CSP für WordPress einrichten

Für WordPress empfehlen wir, mit unserem WordPress Standard Template zu starten und die Policy im Report-Only Modus zu testen. So siehst du in der Browser-Konsole, welche Ressourcen geblockt würden, ohne die Seite tatsächlich zu brechen.

Häufige Fragen

Ist der CSP Generator kostenlos?

Ja, der Generator ist vollständig kostenlos und ohne Registrierung nutzbar.

Werden meine Daten gespeichert?

Nein. Die gesamte CSP-Generierung läuft direkt in deinem Browser. Wir übertragen keine Daten an Server.

Was ist der Unterschied zwischen 'unsafe-inline' und Nonces?

'unsafe-inline' erlaubt alle Inline-Skripte – auch von Angreifern injizierte. Nonces (kryptografische Einmal-Token) erlauben dagegen nur spezifische, vom Server autorisierte Inline-Skripte. Nonces sind deutlich sicherer.

Kann ich CSP im .htaccess setzen?

Ja! Wähle im Format-Dropdown ".htaccess" um den fertigen Apache-Header-Code zu erhalten. Füge ihn in deine .htaccess-Datei im WordPress-Stammverzeichnis ein.

Was bedeutet Report-Only Modus?

Mit dem Header Content-Security-Policy-Report-Only wird die Policy nicht durchgesetzt, sondern nur gemeldet. So kannst du eine neue CSP testen, ohne dass deine Website bricht. Violations werden in der Browser-Konsole (und optional an einen Report-Endpunkt) gesendet.