---
title: 'CSP: form-action'
slug: Web/HTTP/Headers/Content-Security-Policy/form-action
tags:
  - CSP
  - Content-Security-Policy
  - Directive
  - HTTP
  - Security
  - Sécurité
  - form
  - form-action
translation_of: Web/HTTP/Headers/Content-Security-Policy/form-action
---
<div>{{HTTPSidebar}}</div>

<p>La directive HTTP {{HTTPHeader("Content-Security-Policy")}} (CSP) <code><strong>form</strong></code><strong><code>-action</code></strong> restreint les URL pouvant être utilisées comme cibles de soumissions de formulaires depuis un contexte donné.</p>

<div class="warning">
<p><strong>Attention :</strong> La question de savoir si <code>form-action</code> doit bloquer les redirections après une soumission de formulaire est encore <a href="https://github.com/w3c/webappsec-csp/issues/8">débattue</a> et les implantations des navigateurs sur cet aspect sont incohérentes (par exemple Firefox 57 ne les bloque pas, contrairement à Chrome 63).</p>
</div>

<table class="properties">
 <tbody>
  <tr>
   <th scope="row">Version de CSP</th>
   <td>2</td>
  </tr>
  <tr>
   <th scope="row">Type de directive</th>
   <td>{{Glossary("Navigation directive")}}</td>
  </tr>
  <tr>
   <th scope="row">{{CSP("default-src")}} par défaut</th>
   <td>Non, ne pas la définir autorise toutes les adresses.</td>
  </tr>
 </tbody>
</table>

<h2 id="Syntaxe">Syntaxe</h2>

<p>Une ou plusieurs sources peuvent être utilisées pour cette directive :</p>

<pre class="syntaxbox">Content-Security-Policy: form-action &lt;source&gt;;
Content-Security-Policy: form-action &lt;source&gt; &lt;source&gt;;
</pre>

<h3 id="Sources">Sources</h3>

<p>{{page("fr/Web/HTTP/Headers/Content-Security-Policy/default-src", "Sources")}}</p>

<h2 id="Exemples">Exemples</h2>

<h3 id="Configuration_par_balise_&lt;meta>">Configuration par balise &lt;meta&gt;</h3>

<pre class="brush: html">&lt;meta http-equiv="Content-Security-Policy" content="form-action 'none'"&gt;</pre>

<h3 id="Configuration_par_Apache">Configuration par Apache</h3>

<pre class="brush: bash">&lt;IfModule mod_headers.c&gt;
Header set Content-Security-Policy "form-action 'none';"
&lt;/IfModule&gt;</pre>

<h3 id="Configuration_par_Nginx">Configuration par Nginx</h3>

<pre class="brush: bash">add_header Content-Security-Policy "form-action 'none';"</pre>

<h3 id="Cas_de_violation">Cas de violation</h3>

<p>Utiliser un élément {{HTMLElement("form")}} avec un attribut <code>action</code> défini à un script embarqué JavaScript résultera en une violation de CSP :</p>

<pre class="brush: html; example-bad">&lt;meta http-equiv="Content-Security-Policy" content="form-action 'none'"&gt;

&lt;form action="javascript:alert('Foo')" id="form1" method="post"&gt;
  &lt;input type="text" name="fieldName" value="fieldValue"&gt;
  &lt;input type="submit" id="submit" value="submit"&gt;
&lt;/form&gt;

// Error: Refused to send form data because it violates the following
// Content Security Policy directive: "form-action 'none'".</pre>

<h2 id="Spécifications">Spécifications</h2>

<table class="standard-table">
 <tbody>
  <tr>
   <th scope="col">Spécification</th>
   <th scope="col">Statut</th>
   <th scope="col">Commentaire</th>
  </tr>
  <tr>
   <td>{{specName("CSP 3.0", "#directive-form-action", "form-action")}}</td>
   <td>{{Spec2('CSP 3.0')}}</td>
   <td>Inchangé.</td>
  </tr>
  <tr>
   <td>{{specName("CSP 1.1", "#directive-form-action", "form-action")}}</td>
   <td>{{Spec2('CSP 1.1')}}</td>
   <td>Définition initiale.</td>
  </tr>
 </tbody>
</table>

<h2 id="Compatibilité_des_navigateurs">Compatibilité des navigateurs</h2>

<p>{{Compat("http.headers.csp.Content-Security-Policy.form-action")}}</p>

<h2 id="Voir_aussi">Voir aussi</h2>

<ul>
 <li>{{HTTPheader("Content-Security-Policy")}}</li>
 <li>{{HTMLElement("form")}}</li>
</ul>