Plugin HTTPHeader

**Eddy.vh** · 06/05/2019, 10h51

Bonjour Jean-François.

Il y a des choses qui sont malheureusement inaccessibles depuis un hébergement mutualisé et nombreux sont dans ce cas. Il est dès lors difficile de sécuriser au niveau du serveur.
Je pense cependant que ces hébergements sont un minimum sécurisés par leur offrants.

D'un côté, c'est vrai qu'il est inutile de devenir paranoïaque…

**jfque** · 06/05/2019, 13h46

Ce n'était pas tout à fait le sens de mon commentaire parce que malheureusement, du point de vue humain en tout cas, si, il faut être paranoïaque quand on parle de sécurité sur Internet. Parce que vous ne savez jamais qui est à "l'autre bout du fil". Un robot ? Un humain ? Bien ou mal intentionné ?
Donc il faudra toujours partir du principe qu'il y a quelqu'un qui voudra vous attaquer (d'accord, je crois que le vrai paranoïaque pense que TOUT LE MONDE veut l'attaquer) et il faut s'y préparer, mais en évaluant bien les priorités : ça ne sert à rien de passer des heures à "bétonner" une CSP pour un site accessible en FTP protégé par le même mot de passe envoyé par email il y a 5 ans par votre hébergeur et sur le serveur duquel vous conservez religieusement toutes les versions précédentes de votre site depuis sa première version en Mambo (exemple vécu avec de récents clients).
Le principal est donc de toujours bien comprendre les concepts auxquels on est confronté, pour pouvoir évaluer correctement les mesures à prendre, même si celles-ci dépassent nos compétences.

**ghazal** · 08/05/2019, 11h26

pmleconte

je te réponds à ma question, hmmm ..
Ca été une recherche un peu compliquée.

Bon, la série de chiffres susnommée correspond à un MD5 checksum.
Référence
md5sum - Wikiwand

Wikiwand - md5sum

https://www.wikiwand.com/en/Md5sum

md5sum is a computer program that calculates and verifies 128-bit MD5 hashes, as described in RFC 1321. The MD5 hash functions as a compact digital fingerprint of a file. As with all such hashing algorithms, there is theoretically an unlimited number of files that will have any given MD5 hash. However, it is very unlikely that any two non-identical files in the real world will have the same MD5 hash, unless they have been specifically created to do so.

Une explication :
Md5Checker

Md5Checker

http://getmd5checker.com/

Md5Checker is a free, faster, lightweight and easy-to-use tool to manage, calculate and verify MD5 checksum of multiple files/folders.

Autres explications:
md5sum - Vérifier l'intégrité des téléchargements

Md5sum - Vérifier l'intégrité des téléchargements

https://www.commentcamarche.net/faq/41-md5sum-verifier-l-integrite-des-telechargements

Document initial créé par Jipicy @media(max-device-width: 767px) { .ccmPlayerTextTitle {display: none;} } #ccmPlayer-686909 .ccmPlayerPlaceHolder {position: absolute; width: 100%; height: 100%; flex-direction: column; justify-content: center;...

What is checksum and how to calculate and use checksum values

http://www.geeksengine.com/article/checksum.html

Checksum is a calculated value that is used to determine the integrity of data. The sender of the data calculates checksum value by taking the sum of the binary data transmitted.

C'est un processus mis en place sur joomla depuis 2015:
Why URLs of CSS / JS files do not have a version/hash variable appended to their URLs to bypass browser cache after upgrade · Issue #8118 · joomla/joomla-cms

Why URLs of CSS / JS files do not have a version/hash variable appended to their URLs to bypass browser cache after upgrade · Issue #8118 · joomla/joomla-cms

https://github.com/joomla/joomla-cms/issues/8118

When you upgrade Joomla and some JS / CSS file have been updated any users browsing the website, backend of frontend, will get the old versions of the files from the browser cache. Is there a reaso...

Perso, pour charger des fichiers JS ou des CSS, j'applique toujours cette routine :

Code PHP:


JHtml::_('stylesheet', 'myassets/fichier.css', array('version' => 'auto', 'relative' => true));
JHtml::_('script', 'myassets/fichier.js', array('version' => 'auto', 'relative' => true));

Ce qui me donne systématiquement ce fameux md5 checksum.

**ghazal** · 09/05/2019, 10h08

Je complète par une réponse sur la question originale concernant sha256.

Par exemple, quand on appelle le script jQuery par le CDN officiel, on obtient ceci :

Code:

<script
              src="https://code.jquery.com/jquery-2.2.4.min.js"
              integrity="sha256-BbhdlvQf/xTY9gja0Dq3HiwQF8LaCRTXxZKRutelT44="
              crossorigin="anonymous">

</script>

Ce qui corresponds à un "contrôle d'intégrité des sous-ressources".
Définition ici:

Subresource Integrity - Sécurité Web | MDN

https://developer.mozilla.org/fr/docs/Web/Security/Subresource_Integrity

Subresource Integrity (SRI, ou « Intégrité des sous-ressources ») est une fonction de sécurité qui permet aux navigateurs de vérifier que les fichiers qu'ils vont chercher (par exemple, à partir d'un CDN) sont livrés sans manipulation inattendue. Cela fonctionne en permettant de fournir un hachage cryptographique (« hash ») auquel le fichier récupéré doit correspondre.

**Zwitefli** · 17/11/2020, 13h28

Bonjour,
Je remonte ce sujet un peu ancien pour quelques conseils sur ce plugin. En effet, sur le site d'un ami, j'obtiens une note B sur SecurityHeaders mais je suis bien embêté pour corriger les problèmes remontés, n'étant pas webmaster mais juste un passionné.
Pourrais-je obtenir un peu d'aide de votre part ?
D'avance, merci beaucoup

Edit : j'édite mon message car, en désactivant "Rapport uniquement", le site est passé en A sur SecurityHeaders. Par contre, je suis toujours intéressé pour un avis et des conseils sur les Permissions-Policy

**bruno28** · 18/11/2020, 08h09

Envoyé par Zwitefli Voir le message

Par contre, je suis toujours intéressé pour un avis et des conseils sur les Permissions-Policy

Bonjour Zwitefli

tu peux jeter un coup d’œil par là :

Feature-Policy - HTTP | MDN

https://developer.mozilla.org/fr/docs/Web/HTTP/Headers/Feature-Policy

L'en-tête HTTP Feature-Policy fournit un mécanisme pour permettre ou interdire l'utilisation de fonctionnalités du navigateur pour le document courant et le contenu que ce dernier embarquerait via des éléments .

Goodbye Feature Policy and hello Permissions Policy!

https://scotthelme.co.uk/goodbye-feature-policy-and-hello-permissions-policy/

I talked about Feature Policy [https://scotthelme.co.uk/a-new-security-header-feature-policy/] almost 2 years ago and it has seen great adoption since then. As things have progressed a name change has been proposed and accepted so that the name better describes what it does. Welcome to Permissions Policy! -------------------------------------------------------------------------------- Feature Policy

Permissions Policy

https://www.w3.org/TR/permissions-policy-1/

Bonne journée

Bruno

**Zwitefli** · 18/11/2020, 11h30

Envoyé par bruno28 Voir le message

Bonjour Zwitefli

tu peux jeter un coup d’œil par là :

Feature-Policy - HTTP | MDN

https://developer.mozilla.org/fr/docs/Web/HTTP/Headers/Feature-Policy

L'en-tête HTTP Feature-Policy fournit un mécanisme pour permettre ou interdire l'utilisation de fonctionnalités du navigateur pour le document courant et le contenu que ce dernier embarquerait via des éléments .

Goodbye Feature Policy and hello Permissions Policy!

https://scotthelme.co.uk/goodbye-feature-policy-and-hello-permissions-policy/

I talked about Feature Policy [https://scotthelme.co.uk/a-new-security-header-feature-policy/] almost 2 years ago and it has seen great adoption since then. As things have progressed a name change has been proposed and accepted so that the name better describes what it does. Welcome to Permissions Policy! -------------------------------------------------------------------------------- Feature Policy

Permissions Policy

https://www.w3.org/TR/permissions-policy-1/

Bonne journée

Bruno

Merci bien. Dommage que ce soit en anglais (sauf celui de Mozilla)... et je n'ai pas forcément tout compris

Pour un site qui n'a pas besoin de camera, de micro, de géolocalisation... qqch du style : Feature-Policy: microphone 'none'; geolocation 'none' peut suffire ?
Ca se remplit dans le plugin ou le HTAccess ?

**bruno28** · 19/11/2020, 07h28

Bonjour Zwitefli

Je ne sais pas bien, mais il y a des spécialistes dans ce fil de discussion qui pourront te répondre

Bonne journée

Bruno

Plugin HTTPHeader

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Commentaire

Annonce

Partenaire de l'association