Autorisations des fournisseurs

La vue Dependencies (dependances) du tableau de bord cside repertorie chaque fournisseur et domaine qui delivre des scripts sur votre site. Ouvrez un fournisseur pour voir sa grille d’autorisations : un ensemble de boutons Allow (autoriser) et Block (bloquer) qui controlent ce que les scripts de ce fournisseur peuvent faire dans les navigateurs de vos utilisateurs.

Cette page explique chaque autorisation, ce qu’elle couvre et ce que son blocage empeche.

Comment fonctionnent les autorisations

Chaque autorisation a trois etats :

Allow (coche verte) : les scripts du fournisseur peuvent utiliser cette capacite.
Block (bouclier rouge) : cside empeche les scripts du fournisseur d’utiliser cette capacite.
Unset (par defaut) : le fournisseur conserve son comportement normal et cside continue de surveiller ce qu’il fait.

Les autorisations s’appliquent par fournisseur, pour toute votre equipe. Lorsqu’un script n’est pas associe a un fournisseur connu, vous pouvez definir les memes autorisations sur son domaine a la place.

Lorsque vous bloquez une autorisation, cside applique votre decision dans le navigateur. Les tentatives bloquees restent enregistrees, vous pouvez donc voir ce qu’un fournisseur a essaye de faire apres l’avoir verrouille.

Considerez les autorisations comme du moindre privilege applique aux tiers : chaque fournisseur n’obtient que les capacites dont il a besoin pour faire son travail.

Ressources

Ces autorisations controlent ce que les scripts d’un fournisseur peuvent charger, integrer ou executer sur vos pages.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Create and execute dynamic scripts	Le chargement de code supplementaire a l’execution via des balises script	Empeche le fournisseur d’introduire du nouveau code non verifie apres le chargement de la page. C’est ainsi qu’un fournisseur compromis escalade typiquement une attaque.
Network Requests	L’envoi de requetes reseau fetch et XHR	Empeche le fournisseur d’envoyer des donnees hors du navigateur vers ses propres serveurs. C’est le principal canal d’exfiltration de donnees.
Frames	L’integration d’iframes et de frames	Empeche les superpositions d’iframes cachees, les fausses invites de connexion et l’injection d’interface de type clickjacking.
Objects	L’integration de plugins et d’objets	Empeche le contenu de plugins herites (balises `<object>` et `<embed>`), une voie d’injection ancienne mais toujours exploitee.
Workers	L’execution de web workers et de service workers	Empeche les scripts en arriere-plan qui s’executent hors de vue, interceptent des requetes ou continuent de fonctionner apres que l’utilisateur a quitte la page.
Media	Le chargement de contenu audio et video	Empeche les chargements audio ou video indesirables, y compris les medias utilises pour le suivi ou la fraude publicitaire.
Stylesheets	Le chargement de feuilles de style externes	Empeche l’injection de styles qui peut masquer des elements de la page, superposer une fausse interface ou faire fuiter des donnees saisies via des selecteurs CSS.
Prefetch	Le prechargement de ressources	Empeche le chargement speculatif des ressources du fournisseur, qui peut faire fuiter des signaux de navigation avant qu’un utilisateur interagisse.
Manifest	Le chargement de manifests d’application web	Empeche le fournisseur de livrer un manifest qui modifie la facon dont votre site s’installe ou se comporte en tant qu’application.
Images	Le chargement d’images externes	Empeche les chargements d’images, y compris les pixels de suivi : de minuscules images utilisees pour envoyer des donnees vers l’exterieur.
Fonts	Le chargement de polices externes	Empeche les chargements de polices depuis le fournisseur, un canal discret de suivi et de fingerprinting.

APIs sensibles

Ces autorisations controlent l’acces au materiel de l’appareil via le navigateur.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Camera	L’acces a la camera de l’appareil	Empeche les scripts de demander l’acces a la camera, pour que les utilisateurs ne voient jamais une invite qu’ils pourraient accepter par erreur.
Screen Capture	La capture du contenu de l’ecran ou d’une fenetre	Empeche les scripts de demander l’enregistrement de l’ecran, qui peut exposer tout ce qui est visible sur l’ecran de l’utilisateur.
Geolocation	L’acces a la position de l’appareil	Empeche les scripts de demander la position physique de vos utilisateurs.
Microphone	L’acces au microphone de l’appareil	Empeche les scripts de demander l’acces au microphone et d’enregistrer de l’audio.

Stockage

Ces autorisations controlent l’acces aux donnees stockees dans le navigateur.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Cookies	La lecture ou l’ecriture de cookies	Empeche le fournisseur de lire des identifiants de session ou des tokens, et de deposer ses propres cookies de suivi.
Local Storage	La lecture ou l’ecriture de localStorage	Empeche l’acces aux donnees persistees, qui incluent souvent des identifiants utilisateur et des informations personnelles en cache.
Session Storage	La lecture ou l’ecriture de sessionStorage	Empeche l’acces aux donnees de session par onglet, comme l’etat d’un paiement en cours.
IndexedDB	L’acces aux bases de donnees IndexedDB	Empeche l’acces aux bases de donnees structurees du navigateur, ou les applications mettent souvent en cache de plus grands ensembles de donnees utilisateur.

Evenements

Ces autorisations controlent si un fournisseur peut observer comment les utilisateurs interagissent avec vos pages.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Click Events	L’ecoute des evenements de clic	Empeche le suivi des clics sur vos pages, y compris la capture de ce que les utilisateurs touchent et selectionnent.
Keyboard Events	L’ecoute des evenements clavier	Empeche le keylogging (l’enregistrement des frappes au clavier). Un script qui ecoute les frappes peut capturer tout ce qu’un utilisateur tape, y compris des identifiants et des numeros de carte.

Autorisations des formulaires

Ces autorisations controlent quels champs de formulaire les scripts d’un fournisseur peuvent lire. Elles sont centrales pour prevenir le vol de donnees de formulaire, y compris le skimming de type Magecart, et soutiennent les exigences 6.4.3 et 11.6.1 de PCI DSS 4.0.1 pour les pages de paiement.

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Form Access	L’acces aux elements de formulaire et a leurs donnees	L’autorisation generale des formulaires. Le blocage empeche le fournisseur de lire les champs de formulaire non couverts par une autorisation plus specifique ci-dessous.
Email Fields	Les champs de saisie d’e-mail	Empeche la collecte des adresses e-mail que vos utilisateurs saisissent.
File Uploads	Les champs de saisie de fichiers	Empeche l’acces aux fichiers que les utilisateurs joignent, comme des pieces d’identite ou des releves.
Password Fields	Les champs de saisie de mot de passe	Empeche le vol d’identifiants sur les formulaires de connexion et d’inscription.
Hidden Fields	Les champs de formulaire caches	Empeche la lecture des champs caches, qui contiennent souvent des tokens de session, des tokens CSRF ou des identifiants internes.
Address Fields	Les champs de saisie d’adresse	Empeche la collecte des adresses personnelles et de livraison.
Search Fields	Les champs de saisie de recherche	Empeche la capture de ce que les utilisateurs recherchent sur votre site.
Phone Fields	Les champs de saisie de telephone	Empeche la collecte des numeros de telephone.
URL Fields	Les champs de saisie d’URL	Empeche la lecture des URLs que les utilisateurs saisissent dans les formulaires.
Name Fields	Les champs de saisie de nom	Empeche la collecte des noms de personnes.
One-Time Login	Les champs de connexion a usage unique	Empeche le vol des codes a usage unique, que les attaquants utilisent pour contourner le MFA.
Birthday Fields	Les champs de date de naissance	Empeche la collecte des dates de naissance, une donnee cle pour l’usurpation d’identite.
Sex/Gender Fields	Les champs de saisie de sexe et de genre	Empeche la collecte de donnees demographiques sensibles.
Credit Card Fields	Les champs de saisie de carte de credit	Empeche le skimming de carte : des scripts qui lisent les numeros de carte pendant que les utilisateurs les saisissent au moment du paiement.

Autres

Autorisation	Ce qu’elle couvre	Ce que le blocage empeche
Notifications	L’envoi de notifications push	Empeche les invites de notification et le spam push provenant du fournisseur.
Full Screen	La demande du mode plein ecran	Empeche les prises de controle en plein ecran utilisees pour imiter l’interface du navigateur dans des superpositions de phishing.
Payment API	L’acces a la Payment Request API	Empeche le fournisseur d’invoquer la feuille de paiement du navigateur ou de sonder les capacites de paiement.
History API	La manipulation de l’historique du navigateur	Empeche la manipulation d’URL qui peut deguiser la page sur laquelle un utilisateur se trouve reellement ou pieger le bouton retour.
Clipboard	La lecture ou l’ecriture du presse-papiers	Empeche les scripts de lire ce que les utilisateurs ont copie ailleurs, comme des mots de passe ou des adresses de portefeuille, et le detournement du presse-papiers, comme le remplacement d’une adresse de paiement copiee par celle d’un attaquant.

Choisir quoi bloquer

Vous n’avez pas besoin de prendre 40 decisions par fournisseur des le premier jour. Une approche pratique :

Commencez par les capacites que le fournisseur n’a aucune raison d’utiliser. La plupart des fournisseurs n’ont jamais besoin des evenements clavier, des champs de mot de passe, des champs de carte de credit ou du presse-papiers. Les bloquer affecte rarement le fonctionnement.
Verifiez le comportement enregistre du fournisseur. La vue Dependencies montre ce que chaque fournisseur fait reellement sur votre site. Si un fournisseur n’a jamais utilise une capacite, la bloquer presente peu de risque.
Verrouillez les pages ou se trouvent les donnees. Sur les parcours de paiement et de connexion, donnez la priorite aux autorisations des formulaires et a Keyboard Events.
Surveillez les rapports apres le blocage. Les tentatives bloquees restent enregistrees. Un fournisseur qui tente de maniere repetee quelque chose que vous avez bloque merite une investigation.

Si vous ne voyez pas encore Dependencies dans votre tableau de bord, le deploiement se fait progressivement. Contactez support@cside.dev pour l’activer pour votre equipe.

Pages connexes

Detection des menaces : comment cside identifie automatiquement les scripts malveillants
Detection des vulnerabilites : comment cside signale les scripts presentant des vulnerabilites connues
PCI DSS / PCI Shield : exigences relatives aux scripts des pages de paiement
Journaux d’audit : suivez les modifications de configuration effectuees par votre equipe