jquery.app
Francais
EnglishDeutschFrancaisEspanol日本語Nederlands

Outils HTML

Gratuit Generateur de politique Trusted Types

Generez des politiques Trusted Types et des en-tetes CSP pour prevenir les XSS basees sur le DOM avec des valeurs typees pour les points d'entree DOM dangereux.

Chargement de l'outil...

Qu'est-ce que Generateur de politique Trusted Types ?

Trusted Types empeche le XSS DOM en exigeant des valeurs typees pour innerHTML, eval() et script.src via trustedTypes.createPolicy(). Combine a CSP, cela bloque une classe majeure de XSS.

Réponse rapide

Trusted Types bloque les chaines des points d'acces DOM dangereux. Testez d'abord en report-only.

Last updated: 2026-05-31

Limites

  • Chrome 83+, Safari 17+ seulement.
  • Ne couvre pas les attributs URL.
  • Refactorisation importante pour les grandes applications.

Sources:MDN Web Docs · W3C Specifications · jquery.app on GitHub

Comment utiliser cet outil

  1. Configurez createHTML, createScript, createScriptURL.
  2. Choisissez enforce ou report-only.
  3. Selectionnez la plateforme serveur.
  4. Deployez et corrigez les violations.

A quoi il sert

  • Proteger du XSS avec politique de nettoyage.
  • Migrer une application legacy en report-only puis enforce.
  • Appliquer une politique stricte avec scripts tiers.

Cas d'usage

Exemples concrets

Exemple

Migration report-only

Deployez en report-only, corrigez les violations, passez a enforce.

Exemple

Politique stricte CMS

createHTML avec nettoyeur DOMPurify avant TrustedHTML.

Erreurs frequentes

  • Deployer en enforce sans test report-only.
  • Utiliser defaultPolicy comme passe-droit.
  • Oublier que eval() est un point d'acces.

Vérification

  1. Verifiez les TypeError dans la console.
  2. Utilisez l'onglet Issues de Chrome DevTools.

FAQ

Questions sur Generateur de politique Trusted Types

Protege contre le XSS existant?

Oui pour innerHTML, non pour attributs URL.

Compatible React/Vue/Angular?

Oui, integration variable selon le framework.

Scripts tiers?

Bloques sauf politique specifique.

Mode report-only?

Content-Security-Policy-Report-Only journalise sans bloquer.

Outils lies

Autres outils outils html

A essayer aussi

A essayer aussi