Implémenter HSTS et CSP

[n-b]

En gros, rendre Mozilla Observatory content 🤷‍♂ .

[n-b]

Pour Content-Security-Policy:

• La bonne nouvelle, c’est qu’on utilise très peu de resources externes. Tous les assets et le js sont dans le domaine principal.
  • Sentry est chargé depuis https://browser.sentry-cdn.com et reporte les exceptions à https://sentry.data.gouv.fr
  • Matomo est chargé depuis et reporte à https://stats.data.gouv.fr
• Moins bonnes nouvelles:
  • Typeform utilise un bazar est une application moderne et utilise plusieurs sous-domaines, ainsi que des trucs sur segment.io. On peut peut-être ne pas autoriser ce dernier.
  • On a une dizaine de scripts inline (chercher :javascript), certains sont un peu compliqués à extraire, parce qu’il faudra passer les données autrement. En attributs data-, à vue de nez.
• Mauvaises nouvelles:
  • Surtout, on a des snippets ajax en .js.haml à transformer. Il s’agit à chaque fois de render un bout de html au bon endroit du DOM. En Rails moderne, ça serait sans doute à faire avec Stimulus. Il y a aussi des approches “legacy” à base de nonce, mais ça a l’air pénible.