Définition simple
Une politique CSP limite les contenus qu’une page web peut charger ou exécuter, notamment pour réduire les risques de scripts injectés.
Définition technique
Content-Security-Policy est généralement envoyé comme en-tête HTTP. Ses directives script-src, connect-src et frame-ancestors contrôlent des catégories de ressources ; l'application progressive en mode Report-Only aide à identifier les incompatibilités.
À quoi cela sert ?
réduire certains risques XSS et contrôler les ressources chargées par une page.
Exemple concret
une politique CSP autorise les scripts uniquement depuis le domaine du site et un CDN approuvé.
Problèmes fréquents
- script bloqué
- nonce CSP absent
- politique trop permissive
À retenir : déployez CSP avec une politique restrictive adaptée aux scripts réellement nécessaires ; le mode Report-Only permet de repérer les violations avant un blocage effectif.