Amélioration de la sécurité du site

[d4rklynk]

De nombreuses configurations standards pour la sécurisation du site web ne sont pas mis en place tel que :

Configuration DNS

• DNSSEC
• Certification Authority Authorization
• Ajout des enregistrements SPF et DMARC

Certificats et TLS

• HSTS ne sera pas pris en compte par les naviguateurs car le certificat inclus uniquement le nom d'hote www et non le domaine entier. Le certificat devrait inclure le domaine et le sous domaine www.
• HSTS devrait avoir une valeur de minimum 1 an
• Le hostname www est marqué "preload" mais ne l'est pas car le domain ne se trouve pas dans HSTSpreload, de toute facon, il faut que l'apex domaine soit preloaded afin que tout les sous-domaines prennent en compte HSTS.

Site Web

• Content Security Policy n'est pas mis en place.
• Ajout des permissions-policy
• XSS Protection devrait avoir une valeur à 0 -> https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-XSS-Protection
• On peut se baser sur ce fichier template Nginx pour les headers.

---

Autres sources : https://web.dev/security-headers/