パラメータ設定・入力
アーキテクチャ設計方針
適用モード（レスポンスヘッダー）
高度セキュリティ拡張オプションW3C レベル区分 Level 3
CSPバージョン互換性
Web Crypto CSPRNG nonce & SHA-256 ハッシャー
window.crypto.subtlenonceプレフィックスdG9vbHNhYS1zZWN1cmUtbm9uY2UtMjAyNg==
インラインスクリプト用 SHA-256 ハッシュ生成:'sha256-RFWzHiTAeaP0v89upId2U1QGEGNhBlCe/JC9Zdqvqo='
検証済み外部サービス許可リスト一括追加:
default-srcFetch（リソース取得）継承フォールバックなし
Universal fallback boundary for all fetch directives when omitted.'self'
script-srcFetch（リソース取得）default-src を継承
Governs valid sources for JavaScript execution and inline scripts.'self''strict-dynamic''nonce-dG9vbHNhYS1zZWN1cmUtbm9uY2UtMjAyNg=='https:'unsafe-inline'
style-srcFetch（リソース取得）default-src を継承
Governs valid sources for stylesheets, inline styles, and CSS fonts.'self''unsafe-inline'
img-srcFetch（リソース取得）default-src を継承
Governs valid sources of images, SVG vectors, and favicons.'self'data:https:
connect-srcFetch（リソース取得）default-src を継承
Restricts script interfaces: fetch(), XMLHttpRequest, WebSocket, and sendBeacon.'self'
font-srcFetch（リソース取得）default-src を継承
Governs sources for web fonts loaded via @font-face rules.'self'data:
object-srcFetch（リソース取得）default-src を継承
Restricts plugins (<object>, <embed>, <applet>). OWASP mandates 'none'.'none'
media-srcFetch（リソース取得）default-src を継承
Governs valid sources for <audio> and <video> HTML5 media streams.（未設定時は default-src をフォールバック継承）
frame-srcFetch（リソース取得）default-src を継承
Governs valid sources for nested browsing contexts (child <iframe> elements).（未設定時は default-src をフォールバック継承）
worker-srcFetch（リソース取得）default-src を継承
Restricts Worker, SharedWorker, and ServiceWorker execution origins.（未設定時は default-src をフォールバック継承）
manifest-srcFetch（リソース取得）default-src を継承
Governs valid sources of progressive web application (PWA) manifests.（未設定時は default-src をフォールバック継承）
base-uriDocument（ドキュメント境界）継承フォールバックなし
Restricts URLs in <base> tags. CRITICAL: does NOT inherit from default-src!'none'
form-actionNavigation（画面遷移・埋め込み）継承フォールバックなし
Restricts target submission endpoints for HTML <form> elements.'self'
frame-ancestorsDocument（ドキュメント境界）継承フォールバックなし
Clickjacking Armor: restricts parents embedding this site. HTTP header only!'none'
report-uriReporting継承フォールバックなし
Legacy URI collector endpoint for W3C CSP Level 2 violation reports.（明示的な制限なし・非推奨）
report-toReporting継承フォールバックなし
Modern W3C Reporting API endpoint group identifier.（明示的な制限なし・非推奨）
有効ディレクティブ数: 11定義済みオリジン数: 18
モダン厳格（Strict Nonce）Content-Security-Policy: upgrade-insecure-requests; default-src 'self'; script-src 'self' 'strict-dynamic' 'nonce-dG9vbHNhYS1zZWN1cmUtbm9uY2UtMjAyNg==' https: 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; connect-src 'self'; font-src 'self' data:; object-src 'none'; base-uri 'none'; form-action 'self'; frame-ancestors 'none'; require-trusted-types-for 'script'; trusted-types default dompurify # Recommended Defense-in-Depth Headers: Cross-Origin-Opener-Policy: same-origin Cross-Origin-Embedder-Policy: require-corp Cross-Origin-Resource-Policy: same-origin X-Content-Type-Options: nosniff X-Frame-Options: DENY Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=()
ヘッダー種別: Content-Security-Policy
100% ブラウザ内メモリ処理セキュリティ評価スコア100スコア基準（0〜100点）
完全ローカル実行（送信ゼロ）11 件のディレクティブ18 件のソース
ブラウザ内メモリ実行強制適用中
完全クライアントサイド実行
すべてのポリシー生成と暗号演算はブラウザのメモリ内で高速実行されます。
サーバー送信ゼロの安心設計
入力データやポリシー構成は端末内に完結し、外部サーバーへの通信は一切行われません。
本番環境対応の即時エクスポート
Nginx、Apache、Caddy、Next.js向けに最適化された構文をワンクリックで出力可能です。
