Content Security Policy

Visiteur

Boosteur Inactif

Le 02/02/2019 à 21h09

Boosteur Inactif
Voir le profil du membre
Inscrit le : 16/04/2024

Tout d'abord, j'aimerais remercier toute l'équipe de PHPBoost pour cette version 5.2 ! J'utilise ce CMS depuis des années et j'en suis toujours satisfait.

J'ai remarqué que l'utilisation de l'en-tête HTTP Content-Security-Policy au niveau des scripts n'était pas possible si on souhaite rester sur des paramètres recommandés. En effet, voici mon en-tête actuel :

Code BASH :

add_header Content-Security-Policy "default-src 'none'; script-src 'strict-dynamic' 'nonce-rAnd0m123'; connect-src 'self'; img-src 'self'; style-src 'self' 'unsafe-inline'; font-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'";

Site d'évaluation : https://csp-evaluator.withgoogle.com

Et voici le résultat dans la console Firefox sur la page d'accueil :
firefox_2019-02-02_20-54-55

Si j'ai bien compris le principe du nonce, la résolution est "simple". Il suffit d'ajouter un paramètre dans les balises appelant les scripts, comme par exemple :

Code HTML :

<script nonce="rAnd0m123" src="/kernel/lib/js/jquery/jquery.js"></script>

Libre à vous de déterminer le terme que vous souhaitez et le communiquer à ceux mettant en place cet en-tête.

J'essaye actuellement d'effectuer cette modification moi-même, mais j'ai du mal à déterminer l'emplacement des fichiers où se situent les différents appels de script et je suis conscient qu'il doit y en avoir un paquet. Si, éventuellement, au sein de l'équipe vous auriez une telle liste ?

En vous remerciant d'avance pour votre assistance sur ce sujet et longue vie à ce fabuleux CMS !

Édité par Visiteur Le 03/02/2019 à 19h00

Visiteur

Boosteur Inactif

Le 05/04/2019 à 12h11

#164136

Boosteur Inactif
Voir le profil du membre
Inscrit le : 16/04/2024

Pas de retour à ce sujet possible ? Une idée pour une mise en place dans une mise-à-jour future éventuellement ? <img src="/images/smileys/grin.png" alt=":D" title=":D" class="smiley" />

Toujours au niveau de script-src, le reste n'entraine pas de warning : <a href="https://securityheaders.com/?q=ttclub.fr&followRedirects=on">https://securityheaders.com/?q=ttclub.fr&followRedirects=on</a>