Surveillance CSP

La page Surveillance CSP regroupe les signalements envoyés par les navigateurs lorsqu'une page tente de charger une ressource qui ne respecte pas sa politique de sécurité de contenu. La politique fonctionne ici en mode observation : elle rapporte ces tentatives sans bloquer les ressources.

Ces rapports sont des indices techniques. Ils peuvent provenir d'une intégration légitime mal déclarée, d'une extension du navigateur ou d'une tentative d'injection. Ils ne constituent pas, seuls, la preuve d'un incident.

Choisir la période

Utilisez le sélecteur pour consulter les dernières 24 heures, 7, 14, 30 ou 90 jours, puis cliquez sur Actualiser après une correction.

Les cartes indiquent :

• le nombre total de violations rapportées ;
• le nombre de ressources distinctes ;
• le nombre de pages concernées ;
• la date du dernier rapport reçu.

Un écran vide après une lecture réussie signifie qu'aucune violation n'a été rapportée sur la période. Un message Violations non chargées signifie au contraire que l'écran n'a pas pu lire les données : utilisez Actualiser avant de conclure.

Lire le tableau

Le tableau regroupe les événements par directive et ressource signalée. Il indique le nombre d'occurrences, le nombre de pages touchées et la dernière observation.

Cliquez sur une ligne pour ouvrir le détail paginé. Vous y trouverez la page, le fichier source, le navigateur, la date et le mode de la politique. Utilisez ces informations pour reproduire le chargement sur un compte et un navigateur de démonstration.

Prioriser l'analyse

• script-src ou script-src-elem : vérifiez rapidement l'origine du script. Une extension de navigateur peut produire du bruit, mais une origine inconnue doit être analysée.
• connect-src : identifiez l'appel réseau et confirmez qu'il correspond à une API ou une intégration autorisée.
• frame-ancestors : vérifiez si une page a été intégrée dans un site qui n'est pas autorisé.
• font-src, style-src, img-src ou media-src : contrôlez l'hébergement et les domaines nécessaires aux ressources visuelles.

N'ajoutez pas un domaine à une politique uniquement pour faire disparaître le rapport. Confirmez d'abord que la ressource est prévue, maîtrisée et nécessaire.

Exporter pour une revue

Cliquez sur Exporter CSV pour télécharger les rapports de la période. Si l'export est trop volumineux, réduisez la fenêtre puis recommencez. Conservez le fichier selon les règles de votre organisation : les rapports contiennent des adresses de pages et des informations techniques de navigateur.

La page est réservée aux administrateurs de l'organisation. Les rapports sont conservés pendant 180 jours et l'interface permet d'en consulter jusqu'à 90 jours.