CONF02_Absence de durcissement des entêtes HTTP

[ClemGerard]

Priorité de mise en œuvre	Complexité de mise en œuvre
MOYEN TERME	MOYENNE

Constat

Les entêtes HTTP exposés par le service Nginx ne sont configurés pour apporter des mesures de sécurité supplémentaires côté client. Les entêtes Content-Security-Policy, X-Frame-Options, X-Content-Type-Options et Referrer-Policy ne sont pas définis.

Risque

L’absence de l’entête Content-Security-Policy facilite la réalisation d’une attaque XSS. L’absence de l’entête “X-Frame-Option” facilite la réalisation d’attaque de clickjacking. L’absence d’entête “Referrer-Policy” pourrait permettre la fuite d’information sensible. L’absence de “X-Content-Type-Option” pourrait permettre le téléchargement forcé de documents par le client.

Tasks

• définir les en-tête Content-Security-Policy, X-Frame-Options, X-Content-Type-Options et Referrer-Policy, tel que définis dans le rapport détaillé.