Outils script-src
Générateur de hachage de script en ligne
Hachez un script en ligne pour l'autoriser sous script-src avec 'sha256-...'. Tout s'exécute localement dans votre navigateur. Rien n'est envoyé ailleurs.
Hachez les octets exacts entre vos balises script (sans les attributs) pour autoriser ce script en ligne avec 'sha256-...'. Toute modification du script invalide le hachage.
Vous vérifiez une politique complète, pas un seul script ? L'évaluateur CSP de CentralCSP note l'ensemble de votre en-tête et signale les contournements connus.
Nonce ou hachage : lequel choisir ?
Utilisez un nonce quand votre serveur génère les pages dynamiquement et peut émettre une nouvelle valeur aléatoire à chaque réponse. Utilisez un hachage quand le script en ligne est statique et identique à chaque chargement. Un hachage ne demande aucune logique serveur par requête, mais il casse dès que les octets du script changent.