C04-T001 · En-têtes HTTP de sécurité
Content-Security-Policy
La CSP limite les sources autorisées pour les scripts, styles, images, connexions et iframes.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Commencez avec Content-Security-Policy-Report-Only, observez les violations, listez chaque domaine réellement nécessaire puis passez à Content-Security-Policy. Le modèle est volontairement strict et doit être adapté.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C04-T001 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Ouvrez Plesk > Domaines > Apache & nginx > Directives nginx supplémentaires et notez sa configuration actuelle.
- Commencez avec Content-Security-Policy-Report-Only, observez les violations, listez chaque domaine réellement nécessaire puis passez à Content-Security-Policy. Le modèle est volontairement strict et doit être adapté.
- Vérifiez le parcours concerné et relancez C04-T001 dans AxiSecurity.
Preuve attendue
comparez les en-têtes réels de la page publique et d’une page connectée.
Exemple de configuration
add_header Content-Security-Policy-Report-Only "default-src 'self'; base-uri 'self'; object-src 'none'; frame-ancestors 'self'; form-action 'self'; upgrade-insecure-requests" always;
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^content-security-policy'