Generatore di header di sicurezza HTTP (CSP, HSTS)
Seleziona gli header desiderati (CSP, HSTS, X-Frame-Options…) e copia la configurazione pronta per Nginx, Express, Vercel o Apache.
Header di sicurezza HTTP: valori generati e configurazione
Lo strumento produce un blocco di configurazione per Nginx, Express, Vercel o Apache con fino a sei header: HSTS di un anno con preload, una policy CSP di base, X-Frame-Options (DENY o SAMEORIGIN), X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin e Permissions-Policy che disattiva fotocamera, microfono e geolocalizzazione. Questi valori seguono le specifiche in vigore ma restano meno rigorosi dell'elenco di riferimento dell'OWASP.
Header generati
| Header | Valore generato | Effetto |
|---|---|---|
Strict-Transport-Security | max-age=31536000; includeSubDomains; preload | HTTPS imposto per 1 anno (31.536.000 s), sottodomini compresi |
Content-Security-Policy | default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; | fonti consentite per script, stili e immagini |
X-Frame-Options | DENY o SAMEORIGIN | protezione contro il clickjacking |
X-Content-Type-Options | nosniff | nessun rilevamento del tipo MIME |
Referrer-Policy | strict-origin-when-cross-origin | solo l'origine parte verso gli altri siti |
Permissions-Policy | camera=(), microphone=(), geolocation=() | fotocamera, microfono e geolocalizzazione disattivati |
Esempio (Nginx, DENY)
Ogni riga ha la forma seguente; la parola chiave always aggiunge l'header anche alle risposte di errore:
add_header X-Frame-Options "DENY" always;add_header X-Content-Type-Options "nosniff" always;
Limiti del codice generato
- La Referrer-Policy non è regolabile.
- La CSP consente
'unsafe-inline'per gli script, il che indebolisce la protezione contro l'XSS; nonce o hash sono più sicuri. - La direttiva
preloadviene da hstspreload.org e non dalla RFC 6797: l'iscrizione richiede un max-age ≥ 31.536.000, includeSubDomains e HTTPS su tutti i sottodomini, e una rimozione richiede mesi.
L'elenco OWASP aggiornato il 04/10/2026 va oltre: HSTS di 2 anni (63.072.000 s) senza preload, Referrer-Policy no-referrer, X-Frame-Options deny. MDN ricorda che la direttiva CSP frame-ancestors offre più opzioni di X-Frame-Options e che strict-origin-when-cross-origin è la policy predefinita dei browser dalla revisione di novembre 2020 dello standard Fetch.
Fonti e date: RFC 6797, HSTS (novembre 2012); condizioni di hstspreload.org; OWASP Secure Headers, elenco di riferimento (04/10/2026); MDN, X-Frame-Options e Referrer-Policy (verificato il 14/10/2026).
Domande frequenti
Quale valore di max-age scegliere per l'header HSTS?
Lo strumento usa 31.536.000 secondi, cioè un anno, il minimo richiesto per l'elenco di precaricamento di hstspreload.org con includeSubDomains e preload. L'OWASP raccomanda 63.072.000 secondi (2 anni). Secondo la RFC 6797, un max-age=0 chiede al browser di dimenticare la policy HSTS del sito.
Usare X-Frame-Options o la direttiva CSP frame-ancestors?
Entrambi bloccano la visualizzazione delle vostre pagine in un iframe di terze parti. DENY vieta qualsiasi frame, SAMEORIGIN consente solo il vostro dominio. MDN indica che frame-ancestors offre più opzioni e che il valore ALLOW-FROM di X-Frame-Options è obsoleto: i browser recenti ignorano allora l'intero header.
Perché 'unsafe-inline' indebolisce la Content-Security-Policy?
Con 'unsafe-inline' in script-src, qualsiasi script scritto direttamente nella pagina viene eseguito, compreso uno script iniettato da una falla XSS. Lo strumento lo include per non rompere i siti che ne contengono. Per una protezione reale, sostituitelo con nonce o hash SHA-256 degli script autorizzati.
Quale Referrer-Policy scegliere?
Lo strumento imposta strict-origin-when-cross-origin: URL completo verso il vostro sito, solo l'origine verso gli altri siti in HTTPS, nulla verso un sito in HTTP. È il valore predefinito dei browser dalla revisione di novembre 2020 dello standard Fetch. L'OWASP preferisce no-referrer, che non invia proprio nulla.
Lo strumento è davvero gratuito?
Sì, tutti gli strumenti di Kristools sono gratuiti al 100% e accessibili senza registrazione.
I miei dati sono protetti?
Sì. Tutte le elaborazioni vengono eseguite direttamente e in modo sicuro nel tuo browser. Nessun dato personale viene inviato ai nostri server.