FmindGuide de sécurité
Protection contre les scripts malveillants (CSP)
Une politique de sécurité du contenu indique aux navigateurs quels scripts et ressources votre site peut charger. Sans elle, un code malveillant glissé dans votre site (par exemple via une extension vulnérable) s’exécute librement chez vos visiteurs et peut dérober ce qu’ils saisissent.
Qui peut vous aider
Votre développeur web
Vérifier avant de modifier
Suivez ces étapes pour un site ou un domaine de messagerie que vous gérez. Remplacez les indications en majuscules par vos propres valeurs. Si une étape fait référence à des observations enregistrées, lancez la vérification gratuite et confirmez votre domaine pour ouvrir le rapport privé. Reprenez le nom d’hôte ou le nom de requête DNS exact qui y figure.
- Examinez Content-Security-Policy et Content-Security-Policy-Report-Only sur la page d’accueil HTTPS. Avec votre développeur, recensez les scripts, cadres, polices et connexions nécessaires avant de préparer une politique report-only, et choisissez une adresse de collecte des rapports que vous approuvez.
Politique appliquée : RECORD
Politique Report-Only : RECORD
Ressources et parcours indispensables : INVENTORY
Destination et rétention des rapports : OWNER_APPROVALQue faire
Ce réglage demande de la prudence : une politique trop stricte peut casser votre site. Demandez à votre développeur de recenser les scripts, polices et services utilisés (statistiques, paiement, chat), puis de tester une politique en mode « report-only », qui signale les problèmes sans rien bloquer. Ne l’appliquez qu’une fois vos pages essentielles fonctionnelles, et gardez l’ancien réglage prêt à être rétabli.
Comment vérifier la modification
Relancez la vérification : ce point doit indiquer Conforme. Testez ensuite vos pages essentielles (formulaire de contact, paiement, réservation) pour vous assurer que rien n’est cassé.
Ce que ce contrôle permet d’établir
Nous vérifions que votre page d’accueil envoie une politique appliquée qui limite les scripts, sans 'unsafe-inline' ni sources génériques. Sa présence ne prouve ni qu’elle est complète ni que votre site est à l’abri des attaques.