Cybersécurité externe · En-têtes de sécurité · règle CYB-HDR-03
La CSP n'autorise pas de contenu en ligne
En bref : La CSP n'autorise ni 'unsafe-inline', ni 'unsafe-eval', ni data: pour les scripts et les styles.
Gravité : Mineure
Pourquoi c'est important
Avec 'unsafe-inline' ou 'unsafe-eval', un script injecté s'exécute malgré la politique : la CSP perd l'essentiel de son effet.
L'écart tel que le rapport l'écrit : Votre CSP autorise du contenu en ligne
Comment corriger
Retirez 'unsafe-inline', 'unsafe-eval' et data: de la politique ; autorisez les scripts nécessaires par empreinte ou par nonce.
Qui s'en charge : votre prestataire web · effort : un projet
La source
ANSSI, Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur, guide ANSSI-PA-009, version 2.0 du 28/04/2021, Section 5.3, recommandation R15 « Interdire des contenus inline »
R15 Les contraintes CSP ne doivent pas présenter les mots-clés suivants : data:, 'unsafe-eval' ou 'unsafe-inline'.
Source vérifiée le 04/11/2026. Le rapport constate un écart à cette règle ; il ne rend pas d'avis juridique.
Dans la même catégorie
Votre site respecte-t-il cette règle ?
L'audit vérifie ce point et les 84 autres, en quelques minutes, sans rien forcer.
29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.