C18-T009 · CORS
Headers exposés
« Headers exposés » : Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Autorisez uniquement les origines, méthodes et en-têtes réellement nécessaires ; vérifiez le traitement des identifiants.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C18-T009 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans la configuration CORS du serveur et de l’API le réglage ou le parcours associé à « Headers exposés ». Notez la valeur actuelle et les cas qui en dépendent.
- Autorisez uniquement les origines, méthodes et en-têtes réellement nécessaires ; vérifiez le traitement des identifiants.
- Vérifiez le résultat sur le même périmètre : comparez la réponse à une origine autorisée et à une origine étrangère. Conservez la preuve et relancez C18-T009 dans AxiSecurity.
Preuve attendue
comparez la réponse à une origine autorisée et à une origine étrangère.