Politique de sécurité du contenu (CSP)

La politique de sécurité du contenu, ou CSP, est une politique qu’un site transmet au navigateur. Ses directives peuvent définir les scripts et autres ressources qu’un document peut charger. Le navigateur applique les règles définies ; la seule présence d’une CSP ne dit rien de leur sévérité.

Distinguer signalement et application

Un portail de projet fictif prévoit d’abord une politique via l’en-tête de réponse Content-Security-Policy-Report-Only, avec un point de collecte des rapports configuré. Cette politique signale les violations sans les bloquer. Un rapport peut aussi révéler une ressource nécessaire oubliée dans les règles prévues ; il ne prouve pas à lui seul une attaque.

La version appliquée est transmise via Content-Security-Policy. Elle bloque les violations des règles qu’elle couvre. Lors du passage, l’équipe doit donc aussi vérifier que les fonctions nécessaires du portail continuent à fonctionner. Une autre politique déjà appliquée peut rester active pendant l’essai.

Une couche de protection supplémentaire

MDN décrit notamment la CSP comme une défense supplémentaire contre le cross-site scripting. Les points d’insertion sûrs et le nettoyage nécessaire du HTML autorisé restent indispensables. L’exemple explique les deux modes ; il ne contient aucune configuration testée sur un site réel.

Sources

• MDN — Content Security Policy (CSP)