Ajuster votre CSP

Apprenez a configurer les rapports Content Security Policy avec le point de terminaison de rapports de cside. Les rapports CSP sont disponibles pour tous les niveaux d’abonnement cside.

Limites du service

Forfait	Periode de retention	Capacite d’evenements
Gratuit	30 jours	500 000 evenements
Business	90 jours	2 000 000 evenements
Enterprise	90 jours dans le tableau de bord, 365 jours en stockage froid	Evenements illimites

Guide d’implementation

Etape 1 : Configurer les en-tetes CSP

La Content Security Policy utilise des directives pour controler le chargement et l’execution des ressources. Pour une liste complete des directives disponibles, consultez la documentation Mozilla Developer.

Modes de deploiement

CSP prend en charge deux modes operationnels :

• Mode rapport uniquement : Surveille les violations sans les appliquer
• Mode application : Bloque activement les violations de politique

Bonne pratique : Implementez CSP via les en-tetes de reponse HTTP plutot que via les balises meta HTML pour une securite renforcee.

Recommandations d’implementation

1. Commencez avec le mode rapport uniquement pour evaluer l’impact
2. Implementez d’abord les directives essentielles :
   • script-src : Controler les origines des sources JavaScript
   • image-src : Gerer les sources de chargement des images
   • font-src : Restreindre les sources de chargement des polices
3. Utilisez script-src 'self' comme mesure de securite de base

Note : Des outils de configuration automatisee de CSP sont prevus pour le T3 2025.

Etape 2 : Configurer le point de terminaison de rapports

Chaque client cside peut recevoir un point de terminaison client, veuillez donc naviguer vers la section des rapports CSP du tableau de bord pour voir le point de terminaison de rapports CSP attribue a votre compte.

Bonnes pratiques et considerations

Compatibilite avec cside

Quand les modifications CSP ne sont pas necessaires

Dans la plupart des cas, aucun ajustement CSP n’est necessaire pour que le script de surveillance cside fonctionne. Si votre Content Security Policy utilise des directives larges qui autorisent les sources HTTPS, cside fonctionnera sans modification.

Par exemple, si votre CSP ressemble a ceci :

Content-Security-Policy: default-src https: data: 'unsafe-inline' 'unsafe-eval'

Le script cside se chargera sans probleme car il est servi via HTTPS depuis proxy.csidetm.com. Une CSP qui autorise les scripts de n’importe quelle origine HTTPS autorisera automatiquement cside.

Quand les modifications CSP sont necessaires

Vous devez mettre a jour votre CSP uniquement si vous avez des directives script-src ou connect-src explicites qui restreignent les domaines pouvant charger des scripts ou effectuer des requetes reseau.

Si votre CSP inclut des directives script-src ou connect-src specifiques, ajoutez proxy.csidetm.com a ces directives :

Content-Security-Policy: script-src 'self' proxy.csidetm.com; connect-src 'self' proxy.csidetm.com

Vous devez uniquement mettre a jour les directives que vous utilisez deja. Si vous n’avez pas de script-src ou connect-src dans votre CSP, aucune modification n’est necessaire pour ces directives.

Ajoutez ces elements a vos parametres CSP existants sans supprimer vos politiques actuelles. Dans le cadre de votre forfait cside, vous pouvez egalement diriger les violations CSP vers notre tableau de bord pour la surveillance.

Gestion des environnements

L’implementation CSP varie souvent entre les environnements de developpement et de production. Maintenez des configurations CSP coherentes dans tous les environnements pour eviter les problemes de deploiement et les failles de securite.

Strategie de conception de politique

Equilibrez votre implementation CSP entre :

• Politiques strictes : Securite renforcee grace a des regles specifiques, mais necessite plus de maintenance
• Politiques permissives : Maintenance plus facile mais pouvant introduire des vulnerabilites de securite

Les capacites de surveillance de cside vous permettent d’implementer des regles plus larges tout en maintenant la securite grace a des rapports et une analyse complets des violations.

Defis connus

La directive connect-src necessite une attention particuliere en raison des dependances dynamiques cote client. Lors de l’implementation de cette directive…