La politique de sécurité de contenu : la plus utile, la moins posée
Quinze pour cent des sites la posent, et c'est la seule protection contre un script introduit à l'insu du site. Comment la déployer sans casser.
contient une mesure de la sonde
3 223 sites de communes exposent une politique de sécurité de contenu, soit 15,1 % des 21 389 sites joints le 7 septembre 2026. C’est le taux le plus bas de tous les en-têtes que nous mesurons.
Ce qu’elle fait
Elle déclare au navigateur quels domaines sont autorisés à fournir des scripts, des styles, des images, des cadres. Tout le reste est refusé, même si un code malveillant a réussi à s’insérer dans la page.
C’est la seule protection efficace contre l’exécution d’un script introduit par une bibliothèque tierce compromise ou par une faille d’injection.
Pourquoi elle est si peu posée
Parce qu’elle est laborieuse. Il faut inventorier tout ce que le site charge, ce qui suppose de le connaître.
Et parce qu’elle casse en silence. Une politique trop stricte empêche un script de s’exécuter sans afficher d’erreur visible : la carte ne s’affiche plus, le formulaire n’envoie plus, et personne ne comprend pourquoi.
La méthode qui marche
1. Déployez-la en mode observation. Le navigateur signale les violations sans rien bloquer, et les rapports arrivent à une adresse que vous choisissez.
2. Lisez les rapports pendant deux semaines, en incluant une période normale d’activité du site.
3. Élargissez la politique pour couvrir ce que le site charge légitimement.
4. Puis activez le blocage.
Le rapport avec les tiers que nous mesurons
73,7 % des sites joints appellent au moins un domaine tiers, soit 15 771 sites. Les plus fréquents : les polices distantes sur 51,1 % des sites, un outil de mesure d’audience américain sur 23,3 %, un outil libre auto-hébergeable sur 18,7 %, un service de protection de formulaire sur 9,5 %.
Chacun doit figurer dans la politique, ce qui explique une partie de la difficulté : une politique n’est pas une ligne, c’est l’inventaire d’un site.
Le bénéfice caché de l’exercice
L’inventaire lui-même. Beaucoup de sites découvrent à cette occasion un script d’un ancien prestataire, un module d’essai jamais retiré, un tiers dont personne ne sait ce qu’il fait.
Retirer ces éléments est plus utile que la politique elle-même, et cela ne coûte rien.
Ce que nous mesurons
La présence de l’en-tête, pas la solidité de la politique déclarée. Une politique permissive compte comme une politique, et c’est une limite que nous écrivons plutôt que de la masquer.