AZ Tools

Generador de Hash CSP

Red

Pega el contenido exacto de un script o estilo inline (sin etiquetas <script>, sin diferencias de espacios al inicio/final) y la herramienta calcula el digest SHA-2 sobre sus bytes UTF-8, lo codifica base64, y emite el token estilo 'sha256-…' que CSP acepta como entrada de whitelist. El navegador hashea de la misma manera al parsear, así que cualquier discrepancia de bytes — incluyendo finales de línea — fallará en coincidir y el bloque no se ejecutará. Usa esto en vez de 'unsafe-inline' cuando realmente necesitas un snippet inline diminuto.

Algoritmo
Directiva objetivo

Pega algo para hashear.

El navegador hashea los bytes exactos del elemento inline. Espacios, indentación y finales de línea todos cuentan.

Cómo usar

  1. Pega el cuerpo del script (todo entre <script> y </script>) o el cuerpo del estilo.
  2. Elige el algoritmo (sha256 es suficiente para casi todos; 384/512 si tu política los exige).
  3. Copia el token resultante 'sha256-…' en la directiva -src correcta.

Preguntas frecuentes

¿Importan espacios y saltos de línea?
Sí — el navegador hashea los bytes literales del elemento. Un salto de línea final o una indentación diferente invalidará el hash. Pega exactamente lo que está entre las etiquetas.
¿Debería usar siempre sha512?
No. sha256 es la línea base de facto; sha384/sha512 solo son requeridos si tu política o auditor los especifica. Digests más largos no añaden seguridad real aquí — el modelo de amenaza asume que el contenido inline es el que escribiste.

Herramientas relacionadas