Web Security, la référence des standards appliqués par le navigateur

Web Security est la référence des standards derrière CentralCSP, les mécanismes de sécurité côté client qu'un navigateur applique à vos pages, et l'API qui les remonte. Elle est indépendante des fournisseurs. Chaque page explique un standard, ce contre quoi il protège, comment le configurer et, le cas échéant, comment il remonte ses rapports.

L'onglet couvre quatre domaines :

• Les politiques que le navigateur applique à partir d'un header de réponse : Content Security Policy, COOP, COEP, Permissions-Policy et les autres. La plupart peuvent remonter ce qu'elles bloqueraient avant que vous ne les appliquiez.
• La Reporting API, le transport partagé qui met ces rapports en file d'attente et les livre hors bande à un endpoint que vous contrôlez.
• Les headers de sécurité, les headers de réponse d'une ligne qui renforcent une page sans émettre de rapports : HSTS, attributs de cookies, nosniff, Referrer-Policy.
• Subresource Integrity (SRI), qui épingle les octets exacts d'un script ou d'une feuille de style pour qu'un fichier altéré ne se charge pas.

CentralCSP est construit sur ces standards. Il collecte chaque type de rapport à un seul endpoint et transforme le flux en surveillance de sécurité côté client et en preuves PCI DSS v4, avec le Content Security Policy comme cas d'usage le plus approfondi.

Dans cette section

Comment les politiques et la Reporting API s'articulent

Deux des quatre domaines fonctionnent en binôme. Une politique est le producteur d'un rapport, elle signale un événement (un script bloqué, une page mise en cadre, un échec réseau) et nomme un endpoint de reporting. La Reporting API est le transport, le navigateur met ce rapport en file d'attente et le livre, par lots et selon son propre rythme, indépendamment de la page. Vous configurez les deux sur la même réponse HTTP.

Les headers de sécurité et SRI sont autonomes, ils renforcent la page directement et ne passent pas par la Reporting API.

Par où commencer

• Nouveau sur le standard ? Lisez comment fonctionne la Reporting API.
• Vous configurez le reporting ? Suivez Démarrer, puis vérifiez un site en production avec le vérificateur de configuration de la Reporting API.
• Vous verrouillez une page ? Commencez par le Content Security Policy.
• Vous renforcez les fondamentaux ? Scannez avec le scanner de headers de sécurité et parcourez la liste des headers de sécurité.

Sources

• W3C, Reporting API
• MDN, Reporting API