Politique de sécurité du contenu

Outcome: Complete the task with Politique de sécurité du contenu (Content Security Policy). User context: Une SPA bancaire commence avec `Content-Security-Policy-Report-Only` et supprime les gestionnaires en ligne. Elle applique ensuite `script-src 'nonce-r4…' 'strict-dynamic'; object-src 'none'; base-uri 'none'; frame-ancestors 'none'`. Chaque réponse reçoit un nouveau nonce difficile à deviner. Les rapports de violation échantillonnés n'enregistrent pas les URL des clients. Technical concept or control: Politique de sécurité du contenu (Content Security Policy). Why it fits: Utilisez un CSP strict et testé comme défense supplémentaire, de préférence avec des nonces ou des hachages. Consultez les rapports avant de mettre pleinement en œuvre une politique modifiée. Do not use it when: Ne considérez pas les règles larges `*` ou `unsafe-inline` comme une sécurité forte ou ne réutilisez pas des nonces prévisibles. CSP ne remplace pas la prévention habituelle des XSS. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Un document officiel peut quand même être un brouillon, un release candidate, ou la version finale. Vérifie son statut et sa compatibilité avec le navigateur ou la plateforme. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.