Content Security Policy : planifier, tester et appliquer avec discernement

Content Security Policy limite certains chargements de ressources et comportements d’exécution dans le navigateur. Conçue pour l’application, elle peut réduire des risques précis, mais ne remplace pas un code sécurisé et ne garantit pas directement les performances SEO.

Inventorier les ressources légitimes

Listez scripts, styles, images, cadres et connexions nécessaires aux parcours importants. Incluez les intégrations de paiement, de consentement et d’analyse avec un responsable. Vérifiez les politiques servies par les routes applicatives, la configuration CDN et les réponses d’erreur. Plusieurs couches peuvent interagir : inspectez la réponse réelle plutôt que le seul fichier de configuration.

Tester avant une application générale

Développez la politique dans un environnement de test adapté et utilisez les mécanismes de signalement sans blocage lorsque c’est pertinent. Reproduisez les violations et distinguez ressources nécessaires et intégrations superflues. Évitez de résoudre chaque violation par un joker ou une exception dangereuse. Ne copiez pas non plus une politique restrictive d’une autre application en supposant que chaque formulaire et paiement fonctionnera encore.

Exemple : une connexion API nécessaire est refusée

Supposons qu’une page charge normalement, mais que son formulaire ne puisse joindre l’API prévue sous la politique proposée. Inspectez la violation du navigateur, vérifiez le rôle de l’API et ajoutez uniquement la source justifiée à la directive concernée. Retestez l’envoi valide, la gestion des erreurs et les pages sans rapport. C’est un test de configuration, pas une politique universelle prête à déployer.

Vérifier protection et utilisabilité

1. Inspectez la politique réellement servie en production.
2. Testez avec autorisation des parcours publics et authentifiés représentatifs.
3. Examinez les rapports pour repérer ressources inattendues et faux positifs.
4. Consignez le responsable, les changements et une procédure de rétablissement.

Le contrôleur SSL et d’en-têtes de SearchBastion peut observer la configuration des réponses. Il ne certifie pas une politique complète et ne prouve pas l’absence de failles applicatives exploitables. Un en-tête manquant n’explique pas seul une baisse de classement.

Utilisez le guide CSP de MDN pour comprendre les directives et options de déploiement de l’application que vous exploitez réellement.