En-têtes de sécurité HTTP

L'audit de https://app.acme.test relève l'absence d'en-têtes de sécurité. Dans /etc/nginx/snippets/securite.conf (inclus dans le bloc server), ajoutez avec always :

• Strict-Transport-Security "max-age=31536000; includeSubDomains"
• Content-Security-Policy "default-src 'self'; img-src 'self' data:; object-src 'none'; frame-ancestors 'none'; base-uri 'self'"
• X-Content-Type-Options "nosniff"
• Referrer-Policy "strict-origin-when-cross-origin"
• Permissions-Policy "camera=(), microphone=(), geolocation=()"

et masquez la version de NGINX (server_tokens off;). Testez (sudo nginx -t), rechargez (sudo systemctl reload nginx) et vérifiez (curl -sI https://app.acme.test). Quelle directive CSP remplace X-Frame-Options contre le clickjacking ? → answer clickjacking <directive>