Documentation
Une référence pour la directive Content-Security-Policy script-src : ce que signifie chaque valeur, comment autoriser des scripts en ligne en toute sécurité et comment déployer une politique en production.
Prise en main
Autoriser les scripts en ligne
- Nonces Comment fonctionnent les nonces de CSP script-src, comment les générer en toute sécurité et les erreurs qui les désactivent silencieusement.
- Hachages Comment les hachages script-src de la CSP autorisent les scripts en ligne selon leur contenu exact, et comment le condensé est calculé.
- strict-dynamic Comment le mot-clé strict-dynamic propage la confiance d'un nonce ou d'un hachage vers les scripts chargés dynamiquement, et le modèle de CSP stricte recommandé.
Référence
- unsafe-inline, unsafe-eval et compagnie Ce que les mots-clés unsafe-inline, unsafe-eval, unsafe-hashes et wasm-unsafe-eval autorisent dans script-src, et quand chacun est justifié.
- script-src-elem et script-src-attr Comment les directives script-src-elem et script-src-attr de CSP Level 3 divisent le contrôle des scripts, et comment elles se replient sur script-src.
Guides
- Résoudre les problèmes de scripts bloqués Les erreurs de console produites par une violation de script-src et comment corriger chacune, des scripts en ligne bloqués aux problèmes d'eval et de strict-dynamic.
- Remontée des rapports de violation Comment collecter les violations de script-src en production avec Reporting-Endpoints et report-to, ainsi que l'ancienne directive report-uri.