Reporting-Endpoints et report-to

Bonjour,

www.monsite.com

Le programme pour traiter les erreurs CSP s'appelle :

csp_rapport.php

Header always set Content-Security-Policy: report-to tlc-csp-endpoint

Ma question est quelle URL donner ?

Header set Reporting-Endpoints "tlc-csp-endpoint=\"https://monsite.com/csp_rapport.php\""

Est-ce bon, ça a l'air de ne pas marcher ?

si si ça va je pense c'est bon !

J'utilise sur Nginx un apport header un peu similaire, qu'Est ce qui marche pas?

Bonjour,

Header always set Reporting-Endpoints "tlc-csp-endpoint=\"/csp_rapport.php\""

Header always set Content-Security-Policy "default-src 'none'; connect-src 'self'; report-to tlc-csp-endpoint;"

Cela marche comme ça.

Je reviens vers vous avec le script csp_rapport.php suggéré par Gemini.

Autre chose, tous les scripts JS sont externes, sauf dans un dossier "bb" qui contient un forum avec des scripts dans les pages html.
Afin d'éviter script-src 'unsafe-inline' Gemini suggère cette méthode :

Dans le .htaccess

Header always set Content-Security-Policy "script-src 'self' 'nonce-%{UNIQUE_ID}e';"

Modifiez vos balises <script> dans le dossier /bb

<script nonce="<?php echo $_SERVER['UNIQUE_ID']; ?>">
    // Votre code JavaScript actuel ici
    console.log("Ce script inline s'exécute en toute sécurité !");
</script>

Qu'en pensez-vous ?
Modifié par boteha_2 (11 Oct 2026 - 12:52)