Content-Security-Policy
script-src
La directive script-src contrôle les sources depuis lesquelles un navigateur peut charger et exécuter du JavaScript. C'est la directive CSP essentielle pour bloquer le cross-site scripting : une fois définie, un script injecté ne s'exécute pas tant que vous ne l'avez pas explicitement autorisé.
Content-Security-Policy:
script-src 'self' https://cdn.example.com 'nonce-r4nd0m';Autorise les scripts de même origine, un CDN de confiance et un seul script en ligne avec nonce. Tout le reste est bloqué.
Valeurs de source
Référence complète →| Valeur | Signification |
|---|---|
| 'self' | Scripts provenant de la propre origine de la page. |
| 'none' | Bloque toutes les sources de scripts. |
| https://host | Un hôte explicite que vous choisissez d'autoriser. |
| 'nonce-…' | Un script en ligne portant un nonce correspondant. |
| 'sha256-…' | Un script en ligne dont le contenu correspond à ce hachage. |
| 'strict-dynamic' | Fait confiance aux scripts chargés par des scripts déjà de confiance. |
Documentation
Prise en main
Autoriser les scripts en ligne
Vérifier une politique complète
Ce site documente une seule directive. Pour évaluer une Content-Security-Policy complète, avec chaque directive, ses valeurs de repli et les contournements connus, analysez-la avec l'évaluateur CSP de CentralCSP.