AZ Tools

Gerador de Hash CSP

Rede

Cole o conteúdo exato dum script ou estilo inline (sem tags <script>, sem diferenças de espaço no início/fim) e a ferramenta calcula o digest SHA-2 sobre seus bytes UTF-8, codifica base64, e emite o token estilo 'sha256-…' que o CSP aceita como entrada de whitelist. O navegador hashea da mesma forma ao parsear, então qualquer divergência de bytes — incluindo finais de linha — falhará em coincidir e o bloco não executará. Use isto em vez de 'unsafe-inline' quando você realmente precisa dum snippet inline minúsculo.

Algoritmo
Diretiva alvo

Cole algo pra hashear.

O navegador hashea os bytes exatos do elemento inline. Espaços, indentação e quebras de linha todos contam.

Como usar

  1. Cole o corpo do script (tudo entre <script> e </script>) ou o corpo do estilo.
  2. Escolha o algoritmo (sha256 basta pra quase todos; 384/512 se sua política mandar).
  3. Copie o token resultante 'sha256-…' na diretiva -src certa.

Perguntas frequentes

Espaços em branco e quebras de linha importam?
Sim — o navegador hashea os bytes literais do elemento. Uma quebra de linha no fim ou indentação diferente invalidará o hash. Cole exatamente o que está entre as tags.
Devo sempre usar sha512?
Não. sha256 é a baseline de facto; sha384/sha512 só são requeridos se sua política ou auditor os especificar. Digests mais longos não adicionam segurança real aqui — o modelo de ameaça assume que o conteúdo inline é o que você escreveu.

Ferramentas relacionadas