Content Security Policy

CSP peut être activé de deux manières différentes par un serveur web :

• L'en-tête (header) HTTP Content-Security-Policy est ajouté dans les réponses du serveur.
• Une balise <meta> est ajoutée dans le code HTML afin de définir la règle. Par exemple : <meta http-equiv="Content-Security-Policy" content="default-src 'self'; img-src https://*; child-src 'none';">

L'en-tête est alors suivie d'une chaîne de caractères contenant la liste des règles constituant la règle CSP : Content-Security-Policy: règle. Une règle CSP permet de spécifier des valeurs afin de contrôler les ressources que le navigateur est autorisé à charger pour la page donnée.

Une règle est définie par une série de directives qui décrivent chacune un comportement attendu pour un certain type de contenu ou pour l'ensemble des requêtes.

Trois directives courantes sont :

1. default-src : qui s'applique aux ressources pour lesquelles aucune règle n'est définie[13].
2. script-src : qui définit des sources valides pour des scripts JavaScript[14].
3. style-src : qui définit des sources valides pour des feuilles de style CSS.

1. On souhaite que tout le contenu du site soit fourni par la même origine (on exclut les sous-domaines) : Content-Security-Policy: default-src 'self';
2. On souhaite que tout le contenu du site soit fourni par le site lui-même ou par les sous-domaines de source-sure.example.net : Content-Security-Policy: default-src 'self' *.source-sure.example.net;
3. On souhaite que toutes les données soient transmises en HTTPS depuis un domaine précis : Content-Security-Policy: default-src https://confidentiel.example.net Cette règle force l'utilisation de HTTPS et exclut tout usage de contenu ne venant pas de https://confidentiel.example.net.

Afin de tester le déploiement de CSP sur un serveur, on peut le configurer pour rapporter les violations de règle sans pour autant appliquer réellement la règle. De telle façon, on ne bloque pas les usages du site en récupérant les rapports de violation de la règle en phase de test.

Pour cela, il suffit d'utiliser l'en-tête Content-Security-Policy-Report-Only (CSPRO)[15] de la même façon que CSP :

Content-Security-Policy-Report-Only: règle

Si les en-têtes HTTP Content-Security-Policy-Report-Only et Content-Security-Policy sont tous deux présents dans une réponse du serveur, les deux règles seront respectées, ce qui permet de tester une nouvelle règle tout en gardant l'usage de règles préexistantes. Les règles de CSP sont appliquées tandis que celles de CSPRO génèrent des rapports mais ne sont pas appliquées.

Si jamais l'exécution d'un script ou une ressource demandée viole la Politique, le navigateur émettra une requête POST aux URL spécifiées dans report-uri, qui contiendra les détails de la violation. Il faut donc que la directive report-uri soit spécifiée avec au moins une URL valide.

Par exemple :

Content-Security-Policy: default-src 'self'; report-uri http://reportcollector.example.com/collector.cgi

Les rapports d'erreur CSP sont des structures JSON standards qui peuvent être capturées tout aussi bien par l'API de l'application utilisée ou bien par des serveurs publiques de rapport d'erreur CSP.