CSP strict-dynamic
CSP strict-dynamic fait confiance aux scripts ajoutés dynamiquement par des scripts déjà autorisés via nonce/hash, supprimant le besoin de mettre en liste blanche chaque script dynamique.
Objectif
Simplifier le déploiement du CSP pour les SPA et scripts dynamiques, en faisant confiance aux scripts chargés par des scripts de confiance.
Mécanisme
Avec script-src 'nonce-abc' 'strict-dynamic' : les scripts portant le nonce peuvent insérer dynamiquement des balises <script> automatiquement fiées (confiance propagée), sans les mettre en liste blanche. Les scripts injectés non fiables restent sans nonce et bloqués.
Cas d’usage
- Déploiement du CSP en SPA
- Confiance aux scripts dynamiques
- Simplification du CSP