# Headers et sécurité

2015-07-14

Aujourd’hui, j’ai mis en place les headers X-Frame-Options et Content-Security-Policy. Le premier limite l’usage des iframes sur vos contenus (et donc le clickjacking même si dans mon cas c’est limité), le second permet d’autoriser explicitement les images et media (par exemples) de sources distantes, ce qui est utile pour les articles que je mets en cache et accessoirement limiter les XSS.

Voici ce que ça donne pour une configuration Apache (ne pas oublier les `unsafe-*` si vous avez du contenu inline) :

    Header always set X-Frame-Options SAMEORIGIN
    Header always set Content-Security-Policy "default-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src *; media-src *"

Articles choisis : Commodité et effondrement, Des données aux communs, Accompagner un enfant, Senior developer, L’illusion sociale, Instantané Scopyleft, Enseigner le Web, Simplicité par défaut, Minimalisme et esthétique, Travail en transition, La pairmutation du travail, Principes Web, Travail en transition, Un web omni-présent, Manifeste de développeur, Confort et convivialité, Testament numérique, et bien d’autres…