[Problème] sécurité XSS

[pjuignet]

Bonsoir à tous,

Lighhouse me dit que j'ai une protection CSP est insuffisante :
Ensure CSP is not effective against XSS attacks
script-src directive is missing.
object-src directive is missing

Est que ceci peut être obtenu en réglant la partie CSP du plugin "Système - En-têtes HTTP" ?

Réglage actuel en PJ

[pjuignet]

J'ai essayé la dernière option appelée "Ajouter une directive" :
Mis la directive "script-src" avec l'option self (qui permet de donner le site pour seule origine des scripts) et ça a démonté le site que j'ai dû refaire à partir d'une sauvegarde.


Je ne trouve pas de documentation pour ce plugin.

[pmleconte]

Bonjour,

Joomla 4 inclut le plugin HTTP Headers de Zero24 et vous l'avez trouvé.

Il suffit de l'activer.

Au niveau des différentes directives, certaines peuvent effectivement "casser" votre site. D'où l'utilité de l'option "report-only" .

Pascal

[pjuignet]

Bonjour,

Merci de la réponse.

Le problème est que le site a une protection CSP insuffisante car les directives concernant script-src et object-src sont manquantes. Le plugin HTTP Headers est activé et j’espérais pouvoir rajouter des directives de type default-src 'none' ; ou default-src 'self' ; grâce à lui, mais un premier essai a désorganisé le site. L'option "report-only" est activée mais je ne sais pas l'utiliser.
f you can help, you are welcome .

[pmleconte]

Bonjour,

L'option "report-only" permet de voir les erreurs provoquées par le CSP au niveau de la console de l'explorateur (touche F12 sous Chrome).

Vous devriez voir des lignes donnant les valeurs manquantes à vos directives.

D'autre part, essayez d'activer CSP sans mettre aucune directive et vérifiez avec https://securityheaders.com/

Pascal

[pjuignet]

Le diagnostic avec csp evaluator est plus précis


frame-ancestors check 'self'

script-src [missing]

• script-src directive is missing.

object-src [missing]

• Missing object-src allows the injection of plugins which can execute JavaScript. Can you set it to 'none'?

[pjuignet]

Un petit up pour le cas où ...

Le problème est que le remède semble tuer le malade. Quand je rajoute default-src 'none' , ou default-src 'self' avec le plugin HTTP Headers ça désorganise le site (perte de la mise en forme y compris en back end).

Je n'ose plus rien faire car le site en production.