Politique de sécurité du contenu

Une politique de sécurité du contenu (CSP) est une liste qu’un site web fournit au navigateur des emplacements à partir desquels ses pages peuvent charger des scripts et vers lesquels elles peuvent envoyer des données. Le navigateur bloque tout ce qui ne figure pas dans la liste, ce qui protège les visiteurs si quelqu’un réussit à insérer son propre code dans une page.

Un site envoie habituellement sa politique sous la forme d’un en-tête Content-Security-Policy, ou la définit dans une balise <meta>. Chaque partie de la politique couvre un type de contenu : script-src indique d’où les scripts peuvent être chargés, et connect-src indique vers où une page peut envoyer des données. Un outil que vous ajoutez à votre site, comme un script d’analytique, ne fonctionne que si la politique autorise les adresses qu’il utilise.

En savoir plus

• Content Security Policy Level 3 - Spécification du W3C
• Politique de sécurité du contenu (CSP) - Guide MDN
• Vérification de la politique de sécurité du contenu