Skip to content

Externalisation inline script

Thatoo requested to merge Thatoo/share_me:patch-1 into master

Afin de pouvoir mieux répondre au test ecoindex, ce serait bien d'externaliser les scripts présents dans share_me.php (et de les minimiser/minifier). Aussi, afin de passer les tests de sécurité de Mozilla, https://infosec.mozilla.org/guidelines/web_security#subresource-integrity, ce serait bien de pouvoir ajouter "integrity" et "crossorigin" à tous les scripts (externe comme cookieconsent.min.js mais aussi ceux mentioné ci-avant, externalisé et minimisé).

Afin de pouvoir écrire Header set Content-Security-Policy "script-src 'self" Il faut que les script soit lancé par src (donc externalisé dans un fichier) et pas inscrit directement entre balises. Actuellement, nous sommes obligé d'écrire Header set Content-Security-Policy "default-src 'self'; font-src 'self'; img-src https:; script-src 'self' 'unsafe-inline' https://cdnjs.cloudflare.com; style-src 'self' https://cdnjs.cloudflare.com; object-src 'none'" alors qu'il faudrait supprimer 'unsafe-inline' pour renforcer la sécurité. Voir les explications ici : https://infosec.mozilla.org/guidelines/web_security#content-security-policy

Edited by Thatoo

Merge request reports