La Content Security Policy (CSP) est une couche de défense essentielle pour toute application web moderne. Elle limite les sources de contenu et prévient les attaques JavaScript malveillantes, comme le XSS et le clickjacking.
Qu’est-ce que la CSP ?
La CSP est une spécification W3C qui permet au serveur de dicter au navigateur les origines autorisées pour charger des scripts, styles, images, polices, etc. Elle s’applique via l’en-tête HTTP : Content-Security-Policy ou une balise <meta>
Pourquoi la CSP est indispensable ?
- Protection XSS : empêche l’exécution de scripts injectés.
- Prévention clickjacking : via la directive frame-ancestors
- Réduction de la surface d’attaque : contrôle granulaire des ressources.
- Confiance accrue : consolide la réputation SEO et UX de votre site.
Principales directives et exemples
Voici les directives de base pour commencer :
- default-src ‘self’ : autorise uniquement le même domaine.
- script-src ‘self’ ‘nonce-XYZ’ : scripts du domaine et nonces dynamiques.
- style-src ‘self’ : contrôle des feuilles de style.
- img-src ‘self’ data: : images du domaine et encodées en base64.
- frame-ancestors ‘none’ : interdit l’affichage en iframe.
- form-action ‘self’ : empêche l’envoi de formulaires vers l’extérieur.
Politiques strictes vs non-strictes
Politique basique (non-strict)
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'; form-action 'self';
Politique stricte (nonce-based)
Content-Security-Policy: script-src 'nonce-{RANDOM_NONCE}' 'strict-dynamic'; object-src 'none'; base-uri 'none';
Étapes pour déployer votre CSP
- Audit des ressources : recensez tous les scripts, styles et médias.
- Mode Report-Only : testez la politique sans la bloquer, en collectant les rapports.
- Affinement : ajustez les directives jusqu’à zéro alerte.
- Passage en mode bloquant : activez la politique en production.
- Suivi continu : analyse des rapports et mises à jour régulières.
Nos services de mise en place de CSP
Chez Dimension Internet, nous réalisons :
- l’audit complet de votre application web,
- la définition et la mise en place d’une politique CSP sur mesure,
- l’intégration de nonces ou de hachages pour les scripts et styles,
- la surveillance et le maintien de votre politique via des rapports CSP.
Contactez-nous dès aujourd’hui pour renforcer la sécurité de votre site web et optimiser votre référencement grâce à une expérience utilisateur plus fiable.
Conclusion
La Content Security Policy constitue une barrière efficace contre les menaces côté client. Adoptez-la pour protéger vos utilisateurs et améliorer votre SEO. Dimension Internet vous accompagne à chaque étape, de l’audit initial au déploiement en production.