CSP (Content-Security-Policy) : définition et exemples simples
La CSP est sans doute le plus puissant des en-têtes de sécurité, et le moins connu du grand public. Son rôle : dire au navigateur, ressource par ressource, ce que votre site a le droit de charger. Tout le reste est bloqué net.
La définition simple
La Content-Security-Policy (politique de sécurité du contenu) est un en-tête HTTP envoyé par le serveur avec chaque page. Elle établit une liste blanche : d'où le navigateur a le droit de charger les scripts, les styles, les images, les polices, et vers où la page a le droit d'envoyer des données. Tout ce qui n'est pas explicitement autorisé est refusé par le navigateur lui-même.
Quel problème ça résout ?
L'attaque la plus répandue contre les sites web est l'injection de code (XSS) : un attaquant parvient à glisser un script malveillant dans une page, par un commentaire, un formulaire ou une faille du site. Ce script s'exécute alors chez vos visiteurs : vol de session, faux formulaire de paiement, redirections. Avec une CSP stricte, même un script injecté avec succès ne s'exécute pas : il ne figure pas sur la liste blanche, le navigateur le bloque.
Un exemple concret
Une politique comme default-src 'self' se lit ainsi : « par défaut, ne charge que des ressources venant de mon propre domaine ». On affine ensuite directive par directive : img-src pour les images, script-src pour les scripts, frame-ancestors pour interdire d'afficher le site dans une page tierce (l'arnaque du « clickjacking »), form-action pour verrouiller la destination des formulaires.
Pourquoi si peu de sites en ont une ?
Parce qu'elle demande de la rigueur : une CSP trop stricte posée à la va-vite casse le site (scripts et styles bloqués), et beaucoup de sites dépendent de dizaines de services externes difficiles à lister. C'est un travail d'orfèvre : inventorier ce que la page charge réellement, écrire la politique, tester, resserrer. Un site codé proprement, avec peu de dépendances externes, rend l'exercice beaucoup plus simple. C'est l'un des avantages du sur-mesure.
Comment vérifier un site ?
Le scanner gratuit securityheaders.com indique en un clic si une CSP est présente, aux côtés des autres en-têtes comme HSTS. Les sites hébergés par PremierClic embarquent une Content-Security-Policy et obtiennent la note A à ce test. Si votre site actuel affiche des cases rouges, c'est un signal : la sécurité de vos visiteurs repose uniquement sur la chance. Parlons-en.
Questions fréquentes sur la Content-Security-Policy
Une CSP peut-elle casser mon site ?
Oui, une politique trop stricte bloque des scripts légitimes, et souvent sans message visible pour le visiteur. C'est pourquoi on la déploie d'abord en mode rapport, qui signale les blocages sans les appliquer.
La CSP remplace-t-elle un pare-feu ou un antivirus ?
Non. Elle agit dans le navigateur du visiteur, pas sur le serveur. Elle limite les dégâts d'un script injecté, elle n'empêche pas l'intrusion qui a permis de l'injecter.
Un simple site vitrine en a-t-il besoin ?
Oui, et c'est même le cas le plus simple : un site vitrine charge peu de ressources extérieures, donc la politique tient en quelques lignes et ne gêne presque jamais.
Comment savoir si un site en applique une ?
Ouvrez les outils de développement du navigateur, onglet Réseau, puis regardez les en-têtes de réponse de la page. L'absence de Content-Security-Policy signifie qu'aucune politique n'est appliquée.
Un projet de site internet à Toulon ou ailleurs ?
Parlons-en simplement : devis gratuit, réponse sous 24h, première maquette offerte.