Sécurisation des navigateurs web - Historique des versions

Gbellanger le 26 juillet 2018 à 09:31

2018-07-26T09:31:43Z

Gbellanger le 26 juillet 2018 à 09:22

2018-07-26T09:22:55Z

Gbellanger le 26 juillet 2018 à 09:06

2018-07-26T09:06:57Z

Gbellanger le 26 juillet 2018 à 09:03

2018-07-26T09:03:42Z

Voir les modifications

Gbellanger le 26 juillet 2018 à 08:57

2018-07-26T08:57:44Z

Gbellanger le 25 juillet 2018 à 10:05

2018-07-25T10:05:30Z

Gbellanger le 25 juillet 2018 à 10:04

2018-07-25T10:04:21Z

Gbellanger le 25 juillet 2018 à 09:40

2018-07-25T09:40:21Z

Gbellanger le 25 juillet 2018 à 09:34

2018-07-25T09:34:09Z

Gbellanger le 25 juillet 2018 à 09:33

2018-07-25T09:33:00Z

@@ Ligne 10 : / Ligne 10 : @@
    <btn class="btn-primary">
-         Test des entêtes HTTP|Comment tester
+         Test des entêtes HTTP|Tester
       </btn>
@@ Ligne 16 : / Ligne 16 : @@
    <btn class="btn-primary">
-         Mise en place des entêtes HTTP|Comment corriger
+         Mise en place des entêtes HTTP|Corriger
       </btn>

@@ Ligne 7 : / Ligne 7 : @@
 A est la note recommandé par le COSC.
-===<div style="color:#FFFFFF; background-color:  #707173">'''Tester ma plateforme'''</div>===
+===<div style="color:#FFFFFF; background-color:  #046AAF">'''Tester ma plateforme'''</div>===
    <btn class="btn-primary">
-         Headers_test|Comment tester
+         Test des entêtes HTTP|Comment tester
       </btn>
-===<div style="color:#FFFFFF; background-color:  #707173">'''Corriger ma plateforme'''</div>===
+===<div style="color:#FFFFFF; background-color:  #046AAF">'''Corriger ma plateforme'''</div>===
    <btn class="btn-primary">
          Mise en place des entêtes HTTP|Comment corriger
       </btn>

@@ Ligne 16 : / Ligne 16 : @@
    <btn class="btn-primary">
-         Headers_correction|Comment corriger
+         Mise en place des entêtes HTTP|Comment corriger
       </btn>

← Version précédente		Version du 26 juillet 2018 à 08:57
Ligne 1 :		Ligne 1 :
−	~~Expliquer les notions des headers et comment les tester~~	+	Les entêtes Http permettent de protéger de manière simple son portail web de vulnérabilité connu. Elle se paramètre soit directement sur le serveur web soit sur un load balancer (type Bigip).
		+
		+	Cette partie entête est très facilement testable en ligne grâce à l'outil en ligne disponible ici:
		+
		+	https://securityheaders.com/
		+
		+	Après test, l'outil donnera une note allant de A à F.
		+	'''A est la note recommandé par le COSC.'''

	===<div style="color:#FFFFFF; background-color: #046AAF">'''X-FRAME-OPTIONS'''</div>===		===<div style="color:#FFFFFF; background-color: #046AAF">'''X-FRAME-OPTIONS'''</div>===

← Version précédente		Version du 25 juillet 2018 à 10:05
Ligne 150 :		Ligne 150 :

	Cet en-tête permet de faire une vérification stricte des types Mime. Elle n’accepte qu’une seule directive : nosniff.		Cet en-tête permet de faire une vérification stricte des types Mime. Elle n’accepte qu’une seule directive : nosniff.
−
−	~~Entete X-Content-Type-Options~~
−	~~En-tete X-Content-Type-Options~~

	Si cet en-tête est spécifié, le navigateur compatible (Google Chrome ou Internet Explorer) ne chargera, par exemple, que les feuilles de style dont le type Mime est « text/css ».		Si cet en-tête est spécifié, le navigateur compatible (Google Chrome ou Internet Explorer) ne chargera, par exemple, que les feuilles de style dont le type Mime est « text/css ».

@@ Ligne 41 : / Ligne 41 : @@
 Les réglages suivants sont valides :
-: Désactive les protections XSS du navigateur
+*0 : Désactive les protections XSS du navigateur (non recommandé)
-: Active les protections XSS du navigateur
+*1 : Active les protections XSS du navigateur
-; mode=block : Active la protection XSS du navigateur et bloque la réponse au lieu de nettoyer les valeurs
+*1 : mode=block : Active la protection XSS du navigateur et bloque la réponse au lieu de nettoyer les valeurs
-; report=http://site.com/report : Directive spécifique à Chrome et WebKit lui indiquant d’envoyer, via une requête POST, l’attaque XSS potentielle à l’url spécifiée au format JSON.
+*1 : report=http://site.com/report : Directive spécifique à Chrome et WebKit lui indiquant d’envoyer, via une requête POST, l’attaque XSS potentielle à l’url spécifiée au format JSON.
 ===<div style="color:#FFFFFF; background-color:  #707173">'''Configuration'''</div>===
@@ Ligne 58 : / Ligne 58 : @@
   <btn class="btn-primary">
           x-xss-protection-iis|IIS
       </btn>

@@ Ligne 1 : / Ligne 1 : @@
 Expliquer les notions des headers et comment les tester
+===<div style="color:#FFFFFF; background-color:  #046AAF">'''X-FRAME-OPTIONS'''</div>===
 L’en-tête HTTP X-Frame-Options permet d’indiquer aux navigateurs supportant cette extension, d’afficher ou non une page dans un champ HTML ‘<frame>’, ‘<iframe>’ ou ‘<object>’.
@@ Ligne 22 : / Ligne 21 : @@
 Enfin, si vous avez besoin d'intégrer des pages externes, il faudra utiliser ALLOW-FROM et spécifier le domaine ou la page.
-Configuration
+===<div style="color:#FFFFFF; background-color:  #707173">'''Configuration'''</div>===
-Bigip
+  <btn class="btn-primary">
-Apache
+  <btn class="btn-primary">
-IIS
+ <btn class="btn-primary">

@@ Ligne 8 : / Ligne 8 : @@
 L’Intérêt cet en-tête est de se protéger des attaques de type « ClickJacking », en s’assurant que le contenu du site internet à protéger ne soient pas embarqués dans d’autres sites.
-Utilisation du X-Frame-Options
 Il est possible d’utiliser 3 valeurs de paramétrage :
-'''DENY :''' La page ne pourra pas être affichée dans une balise <(i)frame>
+*'''DENY :''' La page ne pourra pas être affichée dans une balise <(i)frame>
-'''SAMEORIGIN :''' La page ne pourra être affichée dans une balise <(i)frame>que si la page provient du même domaine et du même port (SOP : Same Origin Policy )
+*'''SAMEORIGIN :''' La page ne pourra être affichée dans une balise <(i)frame>que si la page provient du même domaine et du même port (SOP : Same Origin Policy )
-'''ALLOW-FROM uri :''' La page ne pourra être affichée dans une balise <(i)frame> que si elle provient de l’origine spécifiée.
+*'''ALLOW-FROM uri :''' La page ne pourra être affichée dans une balise <(i)frame> que si elle provient de l’origine spécifiée.
 Si vous spécifions DENY, il sera impossible de faire des frames dans le site Internet, même avec des pages internes.

← Version précédente		Version du 25 juillet 2018 à 09:33
Ligne 1 :		Ligne 1 :
	Expliquer les notions des headers et comment les tester		Expliquer les notions des headers et comment les tester
		+
		+
		+	'''X-FRAME-OPTIONS'''
		+
		+	L’en-tête HTTP X-Frame-Options permet d’indiquer aux navigateurs supportant cette extension, d’afficher ou non une page dans un champ HTML ‘<frame>’, ‘<iframe>’ ou ‘<object>’.
		+
		+	L’Intérêt cet en-tête est de se protéger des attaques de type « ClickJacking », en s’assurant que le contenu du site internet à protéger ne soient pas embarqués dans d’autres sites.
		+
		+	Utilisation du X-Frame-Options
		+
		+	Il est possible d’utiliser 3 valeurs de paramétrage :
		+
		+	'''DENY :''' La page ne pourra pas être affichée dans une balise <(i)frame>
		+
		+	'''SAMEORIGIN :''' La page ne pourra être affichée dans une balise <(i)frame>que si la page provient du même domaine et du même port (SOP : Same Origin Policy )
		+
		+	'''ALLOW-FROM uri :''' La page ne pourra être affichée dans une balise <(i)frame> que si elle provient de l’origine spécifiée.
		+
		+	Si vous spécifions DENY, il sera impossible de faire des frames dans le site Internet, même avec des pages internes.
		+	Si vous souhaitez intégrer des frames de votre site (même domaine), il faudra utiliser SAMEORIGIN mais il faudra faire attention que les pages à inclure soient présentes sur le même protocole (par exemple il n’est pas possible d’inclure la page http://www.docapost.fr/page1.html depuis la page https://www.docapost.fr/page2.html).
		+	Enfin, si vous avez besoin d'intégrer des pages externes, il faudra utiliser ALLOW-FROM et spécifier le domaine ou la page.
		+
		+	Configuration
		+
		+	Bigip
		+
		+	Apache
		+
		+	IIS