CSP Report-Only
Le mode CSP Report-Only se contente de signaler les violations sans bloquer ; il sert à déployer CSP progressivement sans casser les fonctionnalités.
Objectif
Collecter les rapports de violations CSP sans bloquer, en évaluant la sécurité de la politique avant de passer en mode applicatif.
Mécanisme
L'en-tête Content-Security-Policy-Report-Only utilise la même syntaxe que CSP mais ne fait que rapporter. En cas de violation, le navigateur envoie par POST un rapport à report-uri (comprenant la directive violée, la source, la ligne et la colonne). Après analyse, passez à un CSP applicatif.
Cas d’usage
- Déploiement progressif de CSP
- Surveillance des violations
- Évaluation des politiques