Ajouter un site web
Enregistrez un site en quatre étapes. Nom et URL, ce qui est collecté, qui peut le voir, puis le récapitulatif. Tout reste modifiable ensuite.
Dernière mise à jour:
Enregistrer un site web crée son endpoint de reporting et donne aux reports un endroit où atterrir. Cela ne change rien sur votre site, et rien n'est collecté tant que vous n'avez pas déployé les headers.
Il vous faut le rôle Admin ou Propriétaire sur l'espace de travail pour ajouter un site web. Votre plan limite aussi le nombre de sites web qu'un espace de travail peut contenir.
Ouvrez l'assistant
Allez dans Sites web et sélectionnez Ajouter un site web. Quatre étapes défilent en haut : Détails, Reporting, Accès, Récapitulatif. Seuls le nom et l'URL sont obligatoires, vous pouvez donc garder les valeurs par défaut pour tout le reste et ajuster plus tard dans les Paramètres du site web.
1. Détails
Donnez un Nom au site et son URL publique. Le nom est ce que vous verrez dans les listes et les alertes, rendez-le reconnaissable si vous gérez plusieurs environnements.
La Limite de consommation est désactivée par défaut, ce qui signifie que le site puise dans le quota de l'espace de travail sans plafond propre. Activez-la pour plafonner ce site en particulier, ce qui vaut le coup pour une propriété bruyante ou peu fiable, afin qu'elle ne consomme pas toute l'allocation de l'espace de travail. Voir Consommation et limites.
2. Reporting
Le champ Origines autorisées est prérempli avec l'URL que vous venez de saisir, une origine par ligne. Laissez le champ vide et l'endpoint accepte les reports de n'importe quelle origine sur internet, ce qui veut dire que quiconque trouve l'URL de votre endpoint peut y poster et consommer votre quota. Garder la valeur préremplie est le bon réglage par défaut.
Suivent trois filtres de confidentialité, tous désactivés par défaut :
- Supprimer les query strings et les fragments: Retire tout ce qui suit
?et#dans les URLs avant stockage. Activez-le si vos URLs transportent des tokens, des identifiants de session, ou toute autre donnée que vous préférez ne pas conserver. - Supprimer le referrer: Écarte le referrer des reports entrants.
- Ignorer les reports des extensions de navigateur: Écarte les reports dont la source est
chrome-extension://ou équivalent. Le bruit des extensions est la plus grosse source de violations CSP sans intérêt sur la plupart des sites, celui-ci vaut donc généralement la peine d'être activé.
Les quatre réglages restent modifiables plus tard sous Paramètres > Ingestion. Voir Filtres d'ingestion.
3. Accès
Donnez à des membres ou à des groupes entiers l'accès à ce site, chacun avec un rôle de site web.
Vous n'avez pas besoin de vous ajouter vous-même, ni d'ajouter qui que ce soit qui administre l'espace de travail. Les propriétaires et admins d'espace de travail ont déjà un accès complet à tous les sites web. Cette étape sert aux membres qui doivent atteindre ce site et pas les autres.
La laisser vide ne pose pas de problème, et l'étape de récapitulatif le dira clairement. Voir Contrôle d'accès pour ce que chaque rôle permet de faire.
4. Récapitulatif
La dernière étape résume vos choix, et vous pouvez revenir sur n'importe quelle étape sans rien perdre.
Vérifiez les contrôles de confidentialité avant de confirmer. Sur un parcours par défaut, rien n'est écarté avant la collecte, ce qui veut dire que le bruit des extensions et les URLs complètes, query strings comprises, sont tous stockés. C'est le réglage qu'il vaut le mieux changer maintenant plutôt qu'après un mois de données.
Sélectionnez Ajouter un site web pour le créer.
Ce qui se passe ensuite
CentralCSP génère un endpoint de reporting unique pour le site et vous y amène directement. Rien n'arrive encore, parce que votre site ne pointe pas vers cet endpoint.
Allez sur Configuration pour copier les headers générés et les déployer. C'est l'étape qui lance le flux de reports.
Étapes suivantes
Vue d'ensemble
Le site web est l'objet central de CentralCSP. Ajoutez-en un, branchez ses headers de reporting, réglez ce qu'il collecte et contrôlez qui le voit.
Connecter votre site
Copiez les headers que CentralCSP génère pour votre site web, déployez-les, et vérifiez que le premier report arrive. Trois méthodes, une recommandée.