C04-T005 · En-têtes HTTP de sécurité
Frame-ancestors
frame-ancestors indique précisément quels sites peuvent intégrer vos pages dans une iframe.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Ajoutez frame-ancestors à la CSP existante. N’ajoutez pas un second en-tête CSP indépendant sans vérifier la combinaison des politiques.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C04-T005 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Ouvrez Politique Content-Security-Policy existante du vhost ou de l’application et notez sa configuration actuelle.
- Ajoutez frame-ancestors à la CSP existante. N’ajoutez pas un second en-tête CSP indépendant sans vérifier la combinaison des politiques.
- Vérifiez le parcours concerné et relancez C04-T005 dans AxiSecurity.
Preuve attendue
comparez les en-têtes réels de la page publique et d’une page connectée.
Exemple de configuration
frame-ancestors 'self';
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^content-security-policy:'