Gestion de Content Security Policy
Contrôlez et gérez votre stratégie de sécurité du contenu dans Qlik Cloud pour renforcer la protection contre les attaques telles que l'injection de données et les attaques de type Cross-Site Scripting (XSS).
Qlik Cloud utilise Content Security Policy (CSP) Niveau 2, qui offre une couche de sécurité supplémentaire qui aide à détecter et atténuer certains types d'attaque, dont les attaques par Cross Site Scripting (XSS) et injection de données. Ces attaques sont utilisées à de nombreuses fins, du vol de données en passant par la transmission de logiciels malveillants jusqu'au défacement d'un site.
Dans Qlik Cloud, CSP permet aux administrateurs de clients de contrôler les ressources qu'une extension ou un thème peut charger pour une page donnée. À quelques exceptions près, les stratégies incluent généralement la spécification des origines du serveur et des points de terminaison du script. Si une extension ou un thème contient des demandes de ressources menant à des ressources externes, l'origine de ces ressources doit figurer dans une liste verte de la Content Security Policy.
Pour gérer les stratégies de sécurité de contenu dans le centre d'activités Administration, accédez à la page Content Security Policy.
Pour plus d'informations, consultez MDN Web Docs : Content Security Policy (CSP).
Vue d'ensemble de Content Security Policy
Sur la page Content Security Policy du centre d'activités Administration, les propriétés décrites ci-dessous sont affichées.
Propriété | Description |
---|---|
Nom |
Nom de l'entrée de la stratégie de sécurité du contenu. |
Origine |
Origine du domaine à ajouter à la liste verte. |
Directive |
Directive applicable à l'origine. |
Dernière mise à jour |
Date de la dernière mise à jour de l'entrée. |
Date de création |
Date de création de l'entrée. |
Directives
Les directives contrôlent les emplacements depuis lesquels certains types de ressource peuvent être chargés. Les directives décrites ci-dessous sont supportées dans Qlik Sense Enterprise.
Directive | Description |
---|---|
child-src |
Définit les sources valides pour les Web Workers et les contextes de navigation imbriqués chargés à l'aide d'éléments tels que <frame> et <iframe>. Si vous souhaitez réguler les contextes de navigation imbriqués et les Workers, utilisez les directives frame-src et worker-src, respectivement. |
form-action |
Limite les URL pouvant être utilisés comme la cible d'une soumission de formulaire à partir d'un contexte donné. |
media-src |
Détermine les sources valides pour le chargement de fichiers multimédias à l'aide des éléments <audio>, <video> et <track>. |
style-src |
Détermine les sources valides des feuilles de style. |
connect-src |
Limite les URL pouvant être chargés à l'aide d'interfaces de script. |
frame-src |
Définit les sources valides pour les contextes de navigation imbriqués chargés à l'aide d'éléments tels que <frame> et <iframe>. |
frame-ancestors | Spécifie les sources valides pour incorporer la ressource via <frame>, <iframe>, <object>, <embed> et <applet>. |
object-src |
Détermine les sources valides pour les éléments <object>, <embed> et <applet>. Les éléments contrôlés par object-src peuvent être vus comme d'anciens éléments HTML et ne sont plus complétés par de nouvelles fonctionnalités (par exemple une sandbox d'attributs de sécurité ou autorisation pour <iframe>). Il est donc recommandé de restreindre cette directive Fetch (par exemple, en définissant clairement object-src 'none', si possible). |
worker-src |
Définit les sources valides pour les scripts Worker, SharedWorker ou ServiceWorker . |
font-src |
Définit les sources valides pour les polices chargées via @font-face. |
image-src |
Définit les sources valides des images et icônes. |
script-src |
Définit les sources valides pour JavaScript. |
Stratégie de sécurité du contenu par défaut Qlik Cloud
Qlik Cloud a une stratégie de sécurité du contenu (CSP) par défaut pour tous les utilisateurs qui inclut des domaines qui figurent dans une liste verte. Par exemple, vous pouvez utiliser des images des domaines suivants sans avoir besoin de les ajouter à votre propre stratégie de sécurité du contenu. Les domaines des images provenant d'autres sources doivent être ajoutés à la stratégie de sécurité du contenu.
Sources par défaut des images et icônes favorites dans Qlik Cloud :
-
maps.qlikcloud.com
-
ibasemaps-api.arcgis.com
-
cdn.pendo.io
-
app.pendo.io
-
pendo-static-5763789454311424.storage.googleapis.com
-
data.pendo.io
-
*.gravatar.com *.wp.com *.
-
googleusercontent.com
-
cdn.qlik-stage.com
-
cdn.qlikcloud.com
Pour une liste des autres domaines par défaut disponibles pour tous les utilisateurs Qlik Cloud, voir Placement des noms de domaine et des adresses IP en liste verte.
Considérations relatives à la longueur d'en-tête et des entrées Content Security Policy
Le nombre maximal d'entrées Content Security Policy autorisées par client est de 256. Si vous recevez un message d'erreur indiquant que le nombre d'entrées Content Security Policy autorisées a été dépassé, vous pouvez supprimer les entrées Content Security Policy redondantes et ajouter la nouvelle entrée Content Security Policy.
La longueur maximale de l'en-tête Content Security Policy est de 3 072 caractères. Si vous recevez un message d'erreur indiquant que l'en-tête Content Security Policy est trop long lorsque vous ajoutez une nouvelle entrée Content Security Policy, vous pouvez supprimer les entrées Content Security Policy et ajouter la nouvelle entrée Content Security Policy.
Le nombre maximal de caractères autorisés dans la valeur par défaut de l'en-tête CSP et le nombre maximal d'entrées CSP autorisées par valeur de client par défaut sont intégrés et ne peuvent pas être modifiés dans Qlik Cloud.
Création d'une entrée Content Security Policy
Procédez comme suit :
- Dans le centre d'activités Administration, accédez à la section Content Security Policy et cliquez sur Ajouter dans le coin supérieur droit.
-
Dans la boîte de dialogue, nommez Content Security Policy.
-
Saisissez l'adresse de l'origine à l'un des formats suivants :
-
domain.com
-
*.domain.com
Qlik Sense Applique HTTPS.
-
-
Sélectionnez la directive applicable à l'origine.
Note InformationsVous pouvez ajouter plusieurs directives. - Cliquez sur Ajouter.
Édition d'une entrée Content Security Policy
Procédez comme suit :
- Dans le centre d'activités Administration, accédez à la section Content Security Policy.
- Recherchez l'entrée CSP à modifier, cliquez sur et sélectionnez Modifier.
- Dans la boîte de dialogue, modifiez les options d'entrée CSP selon les besoins.
- Cliquez sur Enregistrer.
Suppression d'une entrée Content Security Policy
Procédez comme suit :
-
Dans le centre d'activités Administration, accédez à la section Content Security Policy et sélectionnez l'entrée CSP à supprimer, puis cliquez sur Supprimer.
Note InformationsVous pouvez supprimer plusieurs éléments à la fois. - Confirmez la suppression de l'entrée CSP.
Copie de l'en-tête Content Security Policy
Procédez comme suit :
- Dans le centre d'activités Administration, accédez à la section Content Security Policy et cliquez sur Afficher l'en-tête.
- Dans la boîte de dialogue, cliquez sur Copier dans le Presse-papiers.
- Cliquez sur Terminer.