CSP
Le Content Security Policy (CSP) est une norme de sécurité web qui permet aux administrateurs de sites de contrôler les sources à partir desquelles des ressources (comme les scripts, les feuilles de style, ou les images) peuvent être chargées par un navigateur. CSP est conçu pour réduire le risque de diverses attaques, notamment les attaques Cross-Site Scripting (XSS) et l’injection de contenu malveillant.
Le CSP fonctionne en envoyant un en-tête HTTP (ou via un tag HTML <meta>) avec une politique de sécurité définie. Cette politique spécifie les directives sur les ressources autorisées à être chargées et exécutées sur une page, comme :
- default-src : Spécifie les sources par défaut pour les contenus chargés.
- script-src : Contrôle les sources autorisées pour les scripts.
- img-src : Spécifie les sources autorisées pour les images.
- style-src : Définit les sources autorisées pour les styles CSS.
Par exemple, un CSP bien configuré peut interdire l’exécution de scripts en ligne ou empêcher le chargement de scripts provenant de domaines non approuvés, réduisant ainsi les risques d’exploitation de failles.
Le CSP est une mesure importante dans la protection contre les vulnérabilités web, car il limite la capacité des attaquants à exécuter du code malveillant via des vecteurs communs comme les formulaires ou les liens manipulés. Une implémentation correcte peut considérablement renforcer la sécurité des applications web modernes.
