Autorisations des fournisseurs

La vue Dependencies (dependances) du tableau de bord cside repertorie chaque fournisseur et domaine qui delivre des scripts sur votre site. Ouvrez un fournisseur pour voir sa grille d’autorisations, organisee en six categories : Resource types, Sensitive APIs, Storage, Event listeners, Form field access et Other. Chaque capacite dispose d’un controle Allow et d’un controle Block ; lorsqu’aucun des deux n’est choisi, l’autorisation n’est pas definie et le fournisseur conserve son comportement par defaut.

Cette page explique chaque autorisation, ce qu’elle couvre et ce que son blocage empeche.

Comment fonctionnent les autorisations

Chaque autorisation a trois etats :

Allow (coche verte) : les scripts du fournisseur peuvent utiliser cette capacite.
Block (bouclier rouge) : cside empeche les scripts du fournisseur d’utiliser cette capacite.
Unset (par defaut) : le fournisseur conserve son comportement normal et cside continue de surveiller ce qu’il fait. Le survol d’un controle selectionne affiche Clear ; cliquez dessus pour ramener l’autorisation a cet etat.

Les autorisations s’appliquent par fournisseur, pour toute votre equipe. Lorsqu’un script n’est pas associe a un fournisseur connu, vous pouvez definir les memes autorisations sur son domaine a la place.

Lorsque vous bloquez une autorisation, cside applique votre decision dans le navigateur. Les tentatives bloquees restent enregistrees, vous pouvez donc voir ce qu’un fournisseur a essaye de faire apres l’avoir verrouille.

Considerez les autorisations comme du moindre privilege applique aux tiers : chaque fournisseur n’obtient que les capacites dont il a besoin pour faire son travail.

Le badge “Used”

A cote d’une autorisation, un badge bleu Used signifie que cside a effectivement observe les scripts de ce fournisseur exercer cette capacite. Il est purement informatif : il ne modifie ni ne definit l’etat Allow/Block, et une capacite peut rester Unset tout en affichant Used. Utilisez-le avec “Verifiez le comportement enregistre du fournisseur” ci-dessous pour decider ce qu’il est sur de bloquer.

Types de ressources

Ces autorisations controlent ce que les scripts d’un fournisseur peuvent charger, integrer ou executer sur vos pages.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
JavaScript	Le chargement et l’execution de JavaScript, y compris du code supplementaire charge a l’execution via des balises script	Empeche le fournisseur d’introduire du nouveau code non verifie apres le chargement de la page. C’est ainsi qu’un fournisseur compromis escalade typiquement une attaque.
Network requests	L’envoi et la recuperation de donnees sur le reseau via fetch et XHR	Empeche le fournisseur d’envoyer des donnees hors du navigateur vers ses propres serveurs. C’est le principal canal d’exfiltration de donnees.
Frames	L’integration d’iframes et d’autres pages imbriquees	Empeche les superpositions d’iframes cachees, les fausses invites de connexion et l’injection d’interface de type clickjacking.
Objects	L’integration de contenu de plugins comme `<object>` et `<embed>`	Empeche le contenu de plugins herites, une voie d’injection ancienne mais toujours exploitee.
Workers	L’execution de web workers et de service workers	Empeche les scripts en arriere-plan qui s’executent hors de vue, interceptent des requetes ou continuent de fonctionner apres que l’utilisateur a quitte la page.
Media	Le chargement de contenu audio et video	Empeche les chargements audio ou video indesirables, y compris les medias utilises pour le suivi ou la fraude publicitaire.
Stylesheets	Le chargement de feuilles de style CSS externes	Empeche l’injection de styles qui peut masquer des elements de la page, superposer une fausse interface ou faire fuiter des donnees saisies via des selecteurs CSS.
Prefetch	Le prechargement (prefetch et preload) de ressources	Empeche le chargement speculatif des ressources du fournisseur, qui peut faire fuiter des signaux de navigation avant qu’un utilisateur interagisse.
Manifests	Le chargement de manifests d’application web	Empeche le fournisseur de livrer un manifest qui modifie la facon dont votre site s’installe ou se comporte en tant qu’application.
Images	Le chargement d’images externes	Empeche les chargements d’images, y compris les pixels de suivi : de minuscules images utilisees pour envoyer des donnees vers l’exterieur.
Fonts	Le chargement de polices externes	Empeche les chargements de polices depuis le fournisseur, un canal discret de suivi et de fingerprinting.

APIs sensibles

Ces autorisations controlent l’acces au materiel de l’appareil et aux API du navigateur qui transforment des chaines de caracteres en code executable.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Camera	L’acces a la camera de l’appareil	Empeche les scripts de demander l’acces a la camera, pour que les utilisateurs ne voient jamais une invite qu’ils pourraient accepter par erreur.
Screen capture	L’enregistrement de l’ecran ou d’une fenetre	Empeche les scripts de demander l’enregistrement de l’ecran, qui peut exposer tout ce qui est visible sur l’ecran de l’utilisateur.
Location	La lecture de la position geographique du visiteur	Empeche les scripts de demander la position physique de vos utilisateurs.
Microphone	L’acces au microphone de l’appareil	Empeche les scripts de demander l’acces au microphone et d’enregistrer de l’audio.
Eval	L’execution de chaines de caracteres comme code via `eval()`	Empeche une technique d’obfuscation courante : les skimmers cachent souvent leur veritable charge utile dans une chaine et l’executent avec `eval()`.
Function constructor	L’execution de chaines de caracteres comme code via le constructeur `Function`	Empeche l’autre principale facon d’executer une chaine comme code, en fermant la breche laissee lorsque seul `eval()` est bloque.
document.write	La reecriture de la page via `document.write`	Empeche le fournisseur d’injecter du balisage et des scripts arbitraires directement dans le document pendant son chargement.
Inline frames	L’injection de contenu de frame inline via `srcdoc`	Empeche le fournisseur de creer des frames dont le contenu provient d’une chaine plutot que d’une URL, un moyen de faire passer du code qu’aucune liste d’hotes autorises ne couvre.

Stockage

Ces autorisations controlent l’acces aux donnees stockees dans le navigateur.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Cookies	La lecture et l’ecriture de cookies	Empeche le fournisseur de lire des identifiants de session ou des tokens, et de deposer ses propres cookies de suivi.
Local storage	La lecture et l’ecriture du stockage persistant du navigateur	Empeche l’acces aux donnees persistees, qui incluent souvent des identifiants utilisateur et des informations personnelles en cache.
Session storage	La lecture et l’ecriture du stockage par onglet du navigateur	Empeche l’acces aux donnees de session par onglet, comme l’etat d’un paiement en cours.
IndexedDB	La lecture et l’ecriture des bases de donnees IndexedDB	Empeche l’acces aux bases de donnees structurees du navigateur, ou les applications mettent souvent en cache de plus grands ensembles de donnees utilisateur.

Ecouteurs d’evenements

Ces autorisations controlent si un fournisseur peut observer comment les utilisateurs interagissent avec vos pages.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Clicks	Le suivi des endroits ou les visiteurs cliquent	Empeche le suivi des clics sur vos pages, y compris la capture de ce que les utilisateurs touchent et selectionnent.
Keystrokes	Le suivi de ce que les visiteurs tapent	Empeche le keylogging (l’enregistrement des frappes au clavier). Un script qui ecoute les frappes peut capturer tout ce qu’un utilisateur tape, y compris des identifiants et des numeros de carte.

Acces aux champs de formulaire

Ces autorisations controlent quels champs de formulaire les scripts d’un fournisseur peuvent lire. Elles sont centrales pour prevenir le vol de donnees de formulaire, y compris le skimming de type Magecart, et soutiennent les exigences 6.4.3 et 11.6.1 de PCI DSS 4.0.1 pour les pages de paiement.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Email fields	Les champs de saisie d’adresse e-mail	Empeche la collecte des adresses e-mail que vos utilisateurs saisissent.
File uploads	Les champs de telechargement de fichiers	Empeche l’acces aux fichiers que les utilisateurs joignent, comme des pieces d’identite ou des releves.
Password fields	Les champs de saisie de mot de passe	Empeche le vol d’identifiants sur les formulaires de connexion et d’inscription.
Hidden fields	Les champs de formulaire caches	Empeche la lecture des champs caches, qui contiennent souvent des tokens de session, des tokens CSRF ou des identifiants internes.
Address fields	Les champs de saisie d’adresse	Empeche la collecte des adresses personnelles et de livraison.
Search fields	Les champs de saisie de recherche	Empeche la capture de ce que les utilisateurs recherchent sur votre site.
Phone fields	Les champs de saisie de numero de telephone	Empeche la collecte des numeros de telephone.
URL fields	Les champs de saisie d’URL	Empeche la lecture des URLs que les utilisateurs saisissent dans les formulaires.
Name fields	Les champs de saisie de nom	Empeche la collecte des noms de personnes.
One-time codes	Les champs de saisie de code de connexion a usage unique	Empeche le vol des codes a usage unique, que les attaquants utilisent pour contourner le MFA.
Birthday fields	Les champs de date de naissance	Empeche la collecte des dates de naissance, une donnee cle pour l’usurpation d’identite.
Sex/gender fields	Les champs de saisie de sexe et de genre	Empeche la collecte de donnees demographiques sensibles.
Credit card fields	Les champs de saisie de carte de credit	Empeche le skimming de carte : des scripts qui lisent les numeros de carte pendant que les utilisateurs les saisissent au moment du paiement.
Non-sensitive form access	Les champs de formulaire qui ne contiennent aucune donnee sensible	L’autorisation generale des formulaires. Le blocage empeche le fournisseur de lire les champs de formulaire non couverts par une autorisation plus specifique ci-dessus.

Autres

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Notifications	L’affichage de notifications du navigateur	Empeche les invites de notification et le spam push provenant du fournisseur.
Full screen	Le passage de la page en mode plein ecran	Empeche les prises de controle en plein ecran utilisees pour imiter l’interface du navigateur dans des superpositions de phishing.
Payments	L’ouverture de la boite de dialogue de paiement du navigateur	Empeche le fournisseur d’invoquer la feuille de paiement du navigateur ou de sonder les capacites de paiement.
Browser history	La modification de l’historique de navigation du visiteur	Empeche la manipulation d’URL qui peut deguiser la page sur laquelle un utilisateur se trouve reellement ou pieger le bouton retour.
Clipboard	La lecture et l’ecriture du presse-papiers	Empeche les scripts de lire ce que les utilisateurs ont copie ailleurs, comme des mots de passe ou des adresses de portefeuille, et le detournement du presse-papiers, comme le remplacement d’une adresse de paiement copiee par celle d’un attaquant.
Send messages	L’envoi de messages entre frames via `postMessage`	Empeche le fournisseur de transmettre des donnees a d’autres frames, un moyen courant de deplacer des donnees skimmees vers une iframe controlee par un attaquant.
Receive messages	L’ecoute des messages entre frames	Empeche le fournisseur de recevoir des instructions ou des donnees provenant d’autres frames de la page.
Worker messages	L’echange de messages avec des web workers	Empeche le fournisseur de deplacer des donnees vers et depuis des workers en arriere-plan, ou elles sont plus difficiles a observer.

Choisir quoi bloquer

Vous n’avez pas besoin de prendre 40 decisions par fournisseur des le premier jour. Une approche pratique :

Commencez par les capacites que le fournisseur n’a aucune raison d’utiliser. La plupart des fournisseurs n’ont jamais besoin des frappes clavier, des champs de mot de passe, des champs de carte de credit, d’eval() ou du presse-papiers. Les bloquer affecte rarement le fonctionnement.
Verifiez le comportement enregistre du fournisseur. La vue Dependencies montre ce que chaque fournisseur fait reellement sur votre site. Si un fournisseur n’a jamais utilise une capacite, la bloquer presente peu de risque.
Verrouillez les pages ou se trouvent les donnees. Sur les parcours de paiement et de connexion, donnez la priorite aux autorisations des champs de formulaire et a Keystrokes.
Surveillez les rapports apres le blocage. Les tentatives bloquees restent enregistrees. Un fournisseur qui tente de maniere repetee quelque chose que vous avez bloque merite une investigation.

Si vous ne voyez pas encore Dependencies dans votre tableau de bord, le deploiement se fait progressivement. Contactez support@cside.dev pour l’activer pour votre equipe.

Pages connexes

Detection des menaces : comment cside identifie automatiquement les scripts malveillants
Detection des vulnerabilites : comment cside signale les scripts presentant des vulnerabilites connues
PCI DSS / PCI Shield : exigences relatives aux scripts des pages de paiement
Journaux d’audit : suivez les modifications de configuration effectuees par votre equipe