C18-T002 · CORS

Wildcard dangereux

Access-Control-Allow-Origin: * autorise n’importe quelle origine à lire une ressource publique compatible CORS.

Comment lire le résultat

Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.

Ce qu’il faut corriger

Configurez dans l’application une liste exacte d’origines HTTPS autorisées et validez l’en-tête Origin côté serveur. N’effectuez pas une simple réflexion de la valeur reçue.

Étapes de correction

Dans le rapport, ouvrez le contrôle C18-T002 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
Ouvrez Configuration CORS ou middleware de l’application et notez sa configuration actuelle.
Configurez dans l’application une liste exacte d’origines HTTPS autorisées et validez l’en-tête Origin côté serveur. N’effectuez pas une simple réflexion de la valeur reçue.
Vérifiez le parcours concerné et relancez C18-T002 dans AxiSecurity.

Preuve attendue

comparez la réponse à une origine autorisée et à une origine étrangère.

Exemple de configuration

# Exemple Laravel config/cors.php — à adapter
'allowed_origins' => ['https://app.exemple.fr'],
'supports_credentials' => true,

Vérifier la correction

Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.

curl -sI -H 'Origin: https://origine-inconnue.example' https://VOTRE-DOMAINE.TLD/api/