1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
|
---
title: 'CSP: connect-src'
slug: Web/HTTP/Headers/Content-Security-Policy/connect-src
tags:
- CSP
- Content-Security-Policy
- Directive
- HTTP
- Reference
- Security
- Sécurité
- connect-src
- source
translation_of: Web/HTTP/Headers/Content-Security-Policy/connect-src
---
<div>{{HTTPSidebar}}</div>
<p>La directive HTTP {{HTTPHeader("Content-Security-Policy")}} (CSP) <code><strong>connect-src</strong></code> restreint les URL qui peuvent être chargées en utilisant des interfaces de programmation. Les API qui sont affectées sont :</p>
<ul>
<li>{{HTMLElement("a")}} {{htmlattrxref("ping", "a")}},</li>
<li>{{domxref("Fetch")}},</li>
<li>{{domxref("XMLHttpRequest")}},</li>
<li>{{domxref("WebSocket")}},</li>
<li>{{domxref("EventSource")}}, and</li>
<li>{{domxref("Navigator.sendBeacon()")}}.</li>
</ul>
<div class="note">
<p><strong>Note:</strong> <code>connect-src 'self'</code> ne s'applique pas aux schémas de websocket pour tous les navigateurs. Pour plus d'informations, consulter : <a href="https://github.com/w3c/webappsec-csp/issues/7">https://github.com/w3c/webappsec-csp/issues/7</a>.</p>
</div>
<table class="properties">
<tbody>
<tr>
<th scope="row">Version de CSP</th>
<td>1</td>
</tr>
<tr>
<th scope="row">Type de directive</th>
<td>{{Glossary("Fetch directive")}}</td>
</tr>
<tr>
<th scope="row">{{CSP("default-src")}} par défaut</th>
<td>Oui, si cette directive est absente, l'agent utilisateur consultera la directive <code>default-src</code></td>
</tr>
</tbody>
</table>
<h2 id="Syntaxe">Syntaxe</h2>
<p>Une ou plusieurs sources peuvent être autorisées pour cette directive :</p>
<pre class="syntaxbox notranslate">Content-Security-Policy: connect-src <source>;
Content-Security-Policy: connect-src <source> <source>;
</pre>
<h3 id="Sources">Sources</h3>
<p>{{page("/fr/docs/Web/HTTP/Headers/Content-Security-Policy/default-src", "common_sources")}}</p>
<h2 id="Exemples">Exemples</h2>
<h3 id="Cas_de_violation">Cas de violation</h3>
<p>Soit cet en-tête CSP :</p>
<pre class="brush: bash notranslate">Content-Security-Policy: connect-src https://example.com/</pre>
<p>Les connexions suivantes seront bloquées et ne se chargeront pas :</p>
<pre class="brush: html notranslate"><a ping="https://not-example.com">
<script>
var xhr = new XMLHttpRequest();
xhr.open('GET', 'https://not-example.com/');
xhr.send();
var ws = new WebSocket("https://not-example.com/");
var es = new EventSource("https://not-example.com/");
navigator.sendBeacon("https://not-example.com/", { ... });
</script></pre>
<h2 id="Spécifications">Spécifications</h2>
<table class="standard-table">
<thead>
<tr>
<th scope="col">Spécification</th>
<th scope="col">Statut</th>
<th scope="col">Commentaire</th>
</tr>
</thead>
<tbody>
<tr>
<td>{{specName("CSP 3.0", "#directive-connect-src", "connect-src")}}</td>
<td>{{Spec2('CSP 3.0')}}</td>
<td>Inchangé.</td>
</tr>
<tr>
<td>{{specName("CSP 1.1", "#directive-connect-src", "connect-src")}}</td>
<td>{{Spec2('CSP 1.1')}}</td>
<td>Définition initiale.</td>
</tr>
</tbody>
</table>
<h2 id="Compatibilité_des_navigateurs">Compatibilité des navigateurs</h2>
<p>{{Compat("http.headers.csp.Content-Security-Policy.connect-src")}}</p>
<h2 id="Notes_de_compatibilité">Notes de compatibilité</h2>
<ul>
<li>Avant Firefox 23, <code>xhr-src</code> était utilisé en lieu et place de la directive <code>connect-src</code> et ne s'appliquait qu'à l'API {{domxref("XMLHttpRequest")}}.</li>
</ul>
<h2 id="Voir_aussi">Voir aussi</h2>
<ul>
<li>{{HTTPHeader("Content-Security-Policy")}}</li>
<li>{{HTMLElement("a")}} {{htmlattrxref("ping", "a")}}</li>
<li>{{domxref("Fetch")}}</li>
<li>{{domxref("XMLHttpRequest")}}</li>
<li>{{domxref("WebSocket")}}</li>
<li>{{domxref("EventSource")}}</li>
</ul>
|
