CSP: Comprendre, structurer et viser le label A+

Au départ, le web faisait confiance au navigateur. Un peu trop.
Avec le temps, des scripts indésirables, des contenus piégés ou des éléments externes non contrôlés ont commencé à s’inviter sur les sites web.

Résultat : le navigateur avait besoin de règles claires pour savoir quoi charger, depuis où et dans quelles conditions.

C’est dans ce contexte qu’ont émergé les en-têtes de sécurité HTTP. Leur objectif est simple : encadrer le comportement du navigateur pour limiter les abus côté client. Le Content Security Policy (CSP) n’est donc pas apparu seul. Il fait partie d’un ensemble de mécanismes complémentaires — comme HSTS ou les protections contre l’affichage dans des pages tierces — qui transforment un site WordPress “fonctionnel” en un site qui se défend activement.

Sur un site WordPress, ces en-têtes ne sont pas là pour faire joli ni pour satisfaire un scanner. Ils servent à reprendre le contrôle sur ce que le navigateur est autorisé à exécuter. Et parmi eux, le CSP joue un rôle central… à condition d’être compris et appliqué avec méthode.

Pour comprendre cette logique côté navigateur, la documentation de référence reste celle de MDN Web Docs sur https://developer.mozilla.org. C’est une ressource précieuse, claire et maintenue par la communauté, qui permet de comprendre pourquoi ces mécanismes existent, avant même de chercher à les configurer.