Les paramètres de sécurité que votre site envoie aux navigateurs

Chaque fois qu’un navigateur charge votre page, votre site lui envoie des instructions. Elles sont invisibles pour les visiteurs, mais les navigateurs les suivent. Quelques-unes d’entre elles rendent les attaques bien plus difficiles.

Les paramètres qui comptent

• Content Security Policy indique d’où les scripts sont autorisés à provenir. Si un attaquant parvient à glisser un script sur votre page, le navigateur refuse de l’exécuter.
• La protection des cadres empêche d’autres sites d’afficher vos pages dans les leurs, une technique utilisée pour inciter les gens à cliquer sur des boutons qu’ils ne voient pas.
• La protection du type de contenu empêche le navigateur de deviner le type d’un fichier, ce qui pourrait transformer une image envoyée en script.
• La politique de référent contrôle la quantité d’adresse de votre page partagée avec d’autres sites lorsque quelqu’un clique sur un lien.
• Les indicateurs des cookies tiennent les cookies de connexion hors de portée des scripts et à l’écart des connexions non chiffrées.

Pourquoi ils manquent souvent

Aucun de ces paramètres n’est activé par défaut. Les frameworks et les hébergeurs vous laissent les configurer, et un site fonctionne très bien sans eux, donc personne ne s’en rend compte tant que quelque chose ne tourne pas mal.

La plupart peuvent être ajoutés à un seul endroit, le fichier de configuration de votre hébergeur ou de votre framework. La Content Security Policy demande plus de soin, car une politique stricte peut bloquer des scripts dont votre site a besoin. On l’ajoute donc généralement par étapes.

Une analyse lit les paramètres que votre site envoie réellement et indique ceux qui manquent ou qui sont trop permissifs.