Comment ce site est sécurisé
Je travaille dans la cybersécurité : mon propre site doit montrer l'exemple. Voici les choix faits pour réduire sa surface d'attaque au minimum.
Aucun code exécuté côté serveur
Le site est généré à l'avance en fichiers HTML et CSS statiques. Pas de CMS, pas de base de données, pas de formulaire : il n'y a rien à injecter ni à pirater côté serveur.
Un seul script, aucune ressource tierce
Le seul JavaScript est un petit fichier écrit à la main, hébergé sur le site, qui gère le thème clair ou sombre. Aucune ressource ne vient d'ailleurs : les polices sont hébergées sur le site, aucune requête ne part vers Google ou un CDN, donc aucune donnée de visite n'est transmise à un tiers.
Politique de sécurité du contenu stricte
L'en-tête Content-Security-Policy part de default-src 'none' et n'autorise que les fichiers du site lui-même, sans aucun script ni style en ligne. Trusted Types bloque en plus toute injection de HTML dans la page : un script injecté ne pourrait pas s'exécuter.
En-têtes HTTP durcis
HSTS impose HTTPS, X-Frame-Options et frame-ancestors interdisent l'intégration dans une autre page, Permissions-Policy coupe caméra, micro et géolocalisation, et les politiques Cross-Origin isolent le site.
Contrôles automatiques à chaque modification
Une intégration continue construit le site, audite les dépendances et vérifie que les pages ne contiennent ni script ou style en ligne, ni ressource externe, et que la CSP n'a pas été assouplie. Dependabot propose les mises à jour de sécurité.
Signalement de vulnérabilité
Un fichier security.txt (RFC 9116) indique comment me signaler une faille.
Vous pouvez le vérifier vous-même avec Mozilla Observatory ou securityheaders.com.