Politique de sécurité du contenu

Une politique de sécurité du contenu (CSP) est une liste qu’un site web fournit au navigateur, indiquant les emplacements depuis lesquels ses pages peuvent charger des scripts et vers lesquels elles peuvent envoyer des données. Le navigateur bloque tout ce qui ne figure pas dans cette liste, ce qui protège les visiteurs si quelqu’un parvient à insérer son propre code dans une page.

Un site envoie généralement sa politique sous forme d’en-tête Content-Security-Policy, ou la définit dans une balise <meta>. Chaque partie de la politique couvre un type de contenu : script-src indique les emplacements depuis lesquels les scripts peuvent être chargés, et connect-src indique les emplacements vers lesquels une page peut envoyer des données. Un outil que vous ajoutez à votre site, tel qu’un script d’analytics, ne fonctionne que si la politique autorise les adresses qu’il utilise.

En savoir plus

• Content Security Policy Level 3 - spécification du W3C
• Politique de sécurité du contenu (CSP) - guide MDN
• Vérification de la politique de sécurité du contenu