Cybersécurité externe · En-têtes de sécurité · règle CYB-HDR-02
Une politique de sécurité du contenu (CSP) est déclarée
En bref : Une politique de sécurité du contenu est déclarée.
Gravité : Moyenne
Pourquoi c'est important
Si un pirate parvient à glisser un script dans une page (formulaire, extension compromise), rien ne l'empêche de s'exécuter chez vos visiteurs.
L'écart tel que le rapport l'écrit : Aucune politique de sécurité du contenu (CSP)
Comment corriger
Déclarez une Content-Security-Policy qui limite les sources de scripts, de styles et de cadres à celles que le site utilise. Testez-la d'abord en mode rapport.
Qui s'en charge : votre prestataire web · effort : un projet
Pour votre développeur
En-tête à envoyer (point de départ à adapter au site)
Content-Security-Policy: default-src 'self'; frame-ancestors 'self'Apache (mod_headers), dans le VirtualHost HTTPS
Header always set Content-Security-Policy "default-src 'self'; frame-ancestors 'self'"Nginx 1.7.5 ou plus, dans le bloc server HTTPS (un add_header au niveau location annule ceux du niveau server)
add_header Content-Security-Policy "default-src 'self'; frame-ancestors 'self'" always;La source
ANSSI, Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur, guide ANSSI-PA-009, version 2.0 du 28/04/2021, Section 5.3, recommandations R13 et R14 (R14- en repli par balise meta)
R13 Il est recommandé de mettre en œuvre CSP afin de présenter aux navigateurs une liste des sites reconnus comme présentant des ressources fiables [...]. R14 Il est recommandé de privilégier la mise en œuvre de CSP par l'utilisation de l'en-tête HTTP Content-Security-Policy.
Source vérifiée le 04/11/2026. Le rapport constate un écart à cette règle ; il ne rend pas d'avis juridique.
Dans la même catégorie
Votre site respecte-t-il cette règle ?
L'audit vérifie ce point et les 84 autres, en quelques minutes, sans rien forcer.
29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.