Retirer une valeur risquée

Le générateur CSP conserve les valeurs risquées que vos pages chargent aujourd'hui, pour que la politique que vous déployez ne casse rien. Cette page en retire une, comme 'unsafe-inline', une fois que vous avez modifié le code qui en a besoin.

Avant de commencer

Vérifiez que vous disposez de :

• Une politique de sécurité du contenu (CSP) construite avec le générateur CSP et déployée. Consultez Démarrer.
• Un accès au code des pages qui chargent la valeur.

Retirer la valeur

Pour retirer une valeur risquée :

1. Dans la barre latérale du site, allez dans Générateurs > Content-Security-Policy, puis avancez jusqu'à l'étape Revue des sources.
2. Dans le filtre des signalements, sélectionnez le niveau de risque le plus grave.
3. Sélectionnez une ligne, puis lisez l'encadré Nécessaire aujourd’hui, à retirer ensuite. Par exemple, il vous demande de remplacer les event handlers inline par des appels à addEventListener avant de retirer 'unsafe-inline'.
4. Faites cette modification dans votre code, et déployez-la.
5. Attendez que les reports couvrent une période complète après votre déploiement, puis relancez le générateur sur cette période.
6. Recherchez la valeur. Vérifiez qu'il ne reste aucune ligne Issu des rapports pour elle dans cette directive, puis sélectionnez Rejeter sur chacune de ses lignes.
7. À l'étape Déployer, copiez les headers et déployez-les.

La valeur a disparu de votre politique, et son risque n'apparaît plus dans la note de l'étape Déployer. S'il reste une ligne Issu des rapports à l'étape 6, une page en a encore besoin. Sélectionnez la ligne et consultez Pages concernées.

Étapes suivantes

• Tableau de revue
• Nonces et unsafe-inline
• Mots-clés CSP
• Hashes et nonces