C04-T013 · En-têtes HTTP de sécurité
Cross-Origin-Embedder-Policy lorsque pertinent
COEP est utile pour les fonctions nécessitant une isolation cross-origin, mais exige que les ressources tierces coopèrent.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
N’activez require-corp qu’après inventaire des ressources tierces et test en préproduction.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C04-T013 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Ouvrez Plesk > Domaines > Apache & nginx > Directives nginx supplémentaires et notez sa configuration actuelle.
- N’activez require-corp qu’après inventaire des ressources tierces et test en préproduction.
- Vérifiez le parcours concerné et relancez C04-T013 dans AxiSecurity.
Preuve attendue
comparez les en-têtes réels de la page publique et d’une page connectée.
Exemple de configuration
add_header Cross-Origin-Embedder-Policy "require-corp" always;
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^cross-origin-embedder-policy:'