davidbgk
/
larlet-fr-david
Слідкувати 1
В обрані 0
Форк 0
Код Релізи 0 Активність
Repository with sources and generator of https://larlet.fr/david/ https://larlet.fr/david/
Ви не можете вибрати більше 25 тем Теми мають розпочинатися з літери або цифри, можуть містити дефіси (-) і не повинні перевищувати 35 символів.
253 Коміти
1 Гілка
Дерево: 7507cd4898
Гілки Теги
${ item.name }
Створити гілку ${ searchTerm }
з '7507cd4898'
${ noResults }
larlet-fr-david/david/stream/2015/07/14/index.md

index.md 933B
Неформатований Normal View Історія

Add initial content
4 роки тому
​
​
​
​
​
​
​
​
 123456789 
  1. title: Headers et sécurité

  2. 

  3. Aujourd’hui, j’ai mis en place les *headers* [X-Frame-Options](https://developer.mozilla.org/en-US/docs/Web/HTTP/X-Frame-Options) et [Content-Security-Policy](https://developer.mozilla.org/en-US/docs/Web/Security/CSP/Introducing_Content_Security_Policy). Le premier limite l’usage des *iframes* sur vos contenus (et donc le *clickjacking* même si dans mon cas c’est limité), le second permet d’autoriser explicitement les images et media (par exemples) de sources distantes, ce qui est utile pour les articles [que je mets en cache](/david/stream/2015/01/05/) et accessoirement limiter les XSS.

  4. 

  5. Voici ce que ça donne pour une configuration Apache (ne pas oublier les `unsafe-*` si vous avez du contenu *inline*) :

  6. 

  7. 	:::shell

  8. 	Header always set X-Frame-Options SAMEORIGIN

  9. 	Header always set Content-Security-Policy "default-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src *; media-src *"