CSP Nonce
Un nonce CSP est une valeur aléatoire générée à chaque requête, attachée aux balises script/style et à l'en-tête CSP, n'autorisant que les scripts inline portant le nonce correspondant.
Objectif
Autoriser sûrement les scripts inline de confiance sans relâcher le CSP vers unsafe-inline ; l'approche CSP moderne recommandée.
Mécanisme
Le serveur génère un nonce aléatoire par requête ; l'en-tête CSP inclut script-src 'nonce-abc123', et le <script nonce=abc123> de la page peut s'exécuter. Les attaquants ne peuvent pas prédire le nonce, donc les scripts injectés sont bloqués.
Cas d’usage
- Autorisation sûre des scripts inline
- Durcissement du CSP
- Défense contre le XSS