C04-T002 · En-têtes HTTP de sécurité
CSP réellement restrictive
« CSP réellement restrictive » : Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Définissez l’en-tête visé une seule fois avec une valeur adaptée aux pages et intégrations utilisées.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C04-T002 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans les en-têtes HTTP de l’application, de nginx et du proxy éventuel le réglage ou le parcours associé à « CSP réellement restrictive ». Notez la valeur actuelle et les cas qui en dépendent.
- Définissez l’en-tête visé une seule fois avec une valeur adaptée aux pages et intégrations utilisées.
- Vérifiez le résultat sur le même périmètre : comparez les en-têtes réels de la page publique et d’une page connectée. Conservez la preuve et relancez C04-T002 dans AxiSecurity.
Preuve attendue
comparez les en-têtes réels de la page publique et d’une page connectée.