Question sur les entêtes http, HSTS et CSP

[tradeymag]

Juste pour voir si cela fonctionne, il y a des commandes report-only : Cross-Origin-Opener-Policy-Report-Only et Cross-Origin-Embedder-Policy-Report-Only

voir https://web.dev/cross-origin-isolation-guide/

ou dois je les mettre dans le plugin ?

[pmleconte]

Ce n'est pas géré par le plugin mais dans le fichier .htaccess.

[Fred2FR3]

Ce n'est pas géré par le plugin mais dans le fichier .htaccess.

Tu es sur que l'option du serveur dans la config globale ne decommente pas justement le htaccess ?

[cavo789]

Tu es sur que l'option du serveur dans la config globale ne decommente pas justement le htaccess ?

Bonjour

.htaccess est traité par Apache en amont ; avant de passer la main à Joomla. Il est donc impossible, depuis joomla (ou peu importe quoi derrière) de désactiver ce qui a déjà été exécuté par Apache.

(à moins que l'action soit de commenter la ligne bien sûr)

[Fred2FR3]

Même si ce n'est pas le cas avec Joomla, il est néanmoins tout a faire possible de regenerer un htacces via une application PHP, d'ou ma question précédente

[tradeymag]

j'ai supprime l'ancien plugin de 2017 Httpheaders en le déverrouillant d'abord dans la base de données

[herve]

Bonjour
très intéressante comme discussion et je ne pense pas être les seuls à avoir besoin de progresser la-dessus(>Bon j'ai réussi à avoir A+ et à priori sans de problème sur mes formulaires ou auters pages

Faut mettre '(self)' ou '(none)' en lieu et place de '()'
Ce n'est pas propre. Il ne faut pas chercher le A+ mais l'efficacité de la protection donnée au site et aux utilisateurs.

Merci pour vos contribution.

Pour être sûr d'avoir bien compris ce point :
quand tu dis, on ne laisse pas (), il faut par exemple mettre

camera=(none),microphone=(none),geolocalisation=(self)

Est-ce a voir avec ce qu'on autorise du genre pas de caméra & microphone mais ok pour la géolocalisation (ce dont je vais avoir besoin) ??

[Fred2FR3]

Je te prie de me pardonner, il semblerait que j'ai confondu avec les CSP.
Une parenthèse vide correspond bien a "disable" d’après le generateur que j'utilise pourtant souvent (https://www.permissionspolicy.com/) . J'ai plus pour habitude de mettre plutôt en ('self') a cause de mes bidouilles et j'ai déjà eu un appel client bloqué a cause d'un module qui prenait en charge de faire l'avatar via la camera de l'utilisateur.
Trop de sécurité des fois :s ...

[herve]

Bonjour
Fred2FR3
Pas de soucis, tu contribue déjà pas mal en étant nouveau et sur ce sujet si tu as quelques connaissances, je pense que cela servira à pas mal de monde.
dans cet exemple du coup pour autoriser seulement la géolocalisation, je dois mettre cela?

camera=(),microphone=(),geolocalisation=(self)

Et tout ce qui n'est pas dans ces lignes est considéré par défaut comme autorisé ?

Merci aussi pour ce lien que je ne connaissais pas et que j'ai mis en favori
Après je repose une demande déjà ancienne car je fais souvent des sites communautaires (inscription membre) dont la sécurité devient plus importante.
Je donne la possibilité de créer du contenu (article joomla) à partir de joomla en natif mais j'ai aussi un composant formulaire convertforms de Tassos dont j'ai confiance mais je me demande toujours, pour affiner, ce que je dois sécuriser en mettant quels paramètres ??

[Fred2FR3]

Une politique stricte voudrait qu'on mette tout sur (), mais en effet, si tu propose un service de geoloc (self), si c'est au travers une API geolocation=(self "https://api.tld" "https://autre.api.tld")
C'est plus aisé que les CSP ou je met default('none') et il faut autorisé que ce dont on a besoin. Pour ce faire faut tester toutes les fonctionnalités du site et surveiller la console.

Ce petit tuto peut te donner quelques éléments intéressants qui peuvent te permettre de gérer cela de manière générale en réglant le serveur Apache.

https://www.justegeek.fr/mettre-en-place-permissions-policy-len-tete-http-qui-remplace-le-feature-policy/

[tradeymag]

je viens de faire un test sur https://gtmetrix.com et https://pagespeed.web.dev avec les paramètres ou j ai un A+. le site est impossible a a analyser et si je cherche sur https://downforeveryoneorjustme.com le site est considéré comme down alors qu il ne l'est pas
donc prudence !
J ai desactive le plugin et je remettrais les paramètres un par un afin de savoir ou ca coince

[Fred2FR3]

Ha oui, c'est probablement les CORS ca
Evites de bloquer le crawl des moteurs aussi héhéhé !

[tradeymag]

ok merci
tu veux dire dans la config globale de joomla > serveur > Activer CORS

[Fred2FR3]

ok merci
tu veux dire dans la config globale de joomla > serveur > Activer CORS

oui, je suis un peu prêt certain de ca.

[tradeymag]

ok je vais essayer tout ca, merci