djangodocs

Django 6.1
Français
Documentation contents

Comment utiliser la politique de sécurité de contenu de Django

Configuration de base

Pour activer la politique de sécurité de contenu (CSP) dans votre projet Django :

  1. Ajoutez l’intergiciel CSP à votre réglage MIDDLEWARE:

    Code
    MIDDLEWARE = [
    # ...
    "django.middleware.csp.ContentSecurityPolicyMiddleware",
    # ...
]

  2. Configurez les politiques CSP dans votre fichier settings.py en utilisant SECURE_CSP ou SECURE_CSP_REPORT_ONLY (ou les deux). La documentation des réglages CSP fournit plus de détails sur les différences entre les deux :

    Code
    from django.utils.csp import CSP

# To enforce a CSP policy:
SECURE_CSP = {
    "default-src": [CSP.SELF],
    # Add more directives to be enforced.
}

# Or for report-only mode:
SECURE_CSP_REPORT_ONLY = {
    "default-src": [CSP.SELF],
    # Add more directives as needed.
    "report-uri": "/path/to/reports-endpoint/",
}

Configuration du nonce

Pour utiliser des nonces dans votre politique CSP, en plus de la configuration de base, vous devez :

  1. Inclure la valeur du substituant NONCE dans les réglages CSP. Cela ne s’applique qu’aux directives script-src ou style-src:

    Code
    from django.utils.csp import CSP

SECURE_CSP = {
    "default-src": [CSP.SELF],
    # Allow self-hosted scripts and script tags with matching `nonce` attr.
    "script-src": [CSP.SELF, CSP.NONCE],
    # Example of the less secure 'unsafe-inline' option.
    "style-src": [CSP.SELF, CSP.UNSAFE_INLINE],
}

  2. Ajouter le processeur de contexte csp() à votre réglage TEMPLATES. Cela rendra disponible dans les gabarits la valeur nonce générée sous la forme de la variable de contexte csp_nonce:

    Code
    TEMPLATES = [
    {
        "BACKEND": "django.template.backends.django.DjangoTemplates",
        "OPTIONS": {
            "context_processors": [
                # ...
                "django.template.context_processors.csp",
            ],
        },
    },
]

  3. Dans vos gabarits, ajouter le nonce aux éléments qui l’exigent :

    Pour les balises <style> or <script> en ligne, utilisez directement la variable de contexte csp_nonce:

    Django template
    <style nonce="{{ csp_nonce }}">
  /* These inline styles will be allowed. */
</style>

<script nonce="{{ csp_nonce }}">
  // This inline JavaScript will be allowed.
</script>

    Pour les éléments <script src="..."> et <link rel="stylesheet"> externes, utilisez la balise de gabarit csp_nonce_attr:

    Django template
    <script src="/path/to/script.js" {% csp_nonce_attr %}></script>
<link rel="stylesheet" href="/path/to/style.css" {% csp_nonce_attr %}>

    Pour produire les contenus des objets Media avec le nonce appliqué à chacun de ses éléments, passez l’objet à la balise csp_nonce_attr:

    Django template
    {% csp_nonce_attr form.media %}

This page as Markdown JSON

Edit this page on GitHub Official version