[RÉGLÉ] Politique de sécurité

[Visiteur]

J'aimerais inclure dans le fichier .htaccess une instruction concernant "la politique de sécurité relative à la provenance des ressources (cf. CSP)", telle que celle-ci fort basique:

Header set Content-Security-Policy "script-src 'self' "

Le résultat fonctionne presque trop bien ... puisqu'il m'empêche alors toute modification ultérieure en mode Admin, et perturbe le fonctionnement de mon plugin "fast social share" (réduit à sa plus simple expression). Pour ce dernier point, j'ai tenté d'ajouter dans cette instruction les 3 url concernant facebook, twitter et linkedin. Mais cela ne change strictement rienau dysfonctionnement dudit plugin !

Question: peut-on écrire cette directive sans les perturburbations décrites ci-dessus ?

Merci.

[pmleconte]

Bonjour,

Lors de JoomlaDays, j'ai fait une présentation sur le CSP et la sécurité via les Headers HTTP.

La présentation "officielle" n'est pas encore en ligne sur le site des JoomlaDays (c'est en cours), mais, vous pouvez la retrouver : https://www.conseilgouz.com/espace-t...19-httpheaders

Personnellement, j'utilise plutôt le plugin httpheaders https://github.com/zero-24/plg_syste...eader/releases au lieu de "taper" dans le .htaccess.

Le plugin a un mode "Rapport seulement" qui permet de tester les commandes CSP et on peut n'appliquer le CSP qu'au site, qu'à l'admin ou aux deux.

Pascal

[cavo789]

Salut Pascal, merci pour le lien.

Pour sûr, si j'avais été présent aux JDays cette année, je n'aurai raté ta conf pour rien au monde.

Merci pour cet énorme travail de compilation, de tests et ce retour.

[Visiteur]

Bonjour,

Lors de JoomlaDays, j'ai fait une présentation sur le CSP et la sécurité via les Headers HTTP.

La présentation "officielle" n'est pas encore en ligne sur le site des JoomlaDays (c'est en cours), mais, vous pouvez la retrouver : https://www.conseilgouz.com/espace-t...19-httpheaders

Personnellement, j'utilise plutôt le plugin httpheaders https://github.com/zero-24/plg_syste...eader/releases au lieu de "taper" dans le .htaccess.

Le plugin a un mode "Rapport seulement" qui permet de tester les commandes CSP et on peut n'appliquer le CSP qu'au site, qu'à l'admin ou aux deux.

Pascal

Excellent. Merci Pascal.
Bon dimanche !