Sécurité - Catégorie - arleo.eu https://www.arleo.eu/categories/s%C3%A9curit%C3%A9/ Sécurité - Catégorie - arleo.eu Hugo -- gohugo.iofrThu, 28 May 2026 23:40:12 +0200 CSP A+ sur Hugo + Cloudflare : de hash-based à origin allowlist, monitoring auto et durcissement https://www.arleo.eu/posts/csp-a-plus-hugo-cloudflare-origin-allowlist/ Thu, 28 May 2026 23:40:12 +0200 Jmr https://www.arleo.eu/posts/csp-a-plus-hugo-cloudflare-origin-allowlist/

Contexte

arleo.eu tourne sur Hugo (VM KVM) → OpenResty (NUC) → Cloudflare (CDN/WAF). Objectif : score A+ sur Mozilla Observatory avec une CSP stricte qui résiste aux injections côté edge.

Le parcours a traversé trois stratégies en quelques semaines — nonces, hashes, puis origin allowlist — avant d’aboutir à une solution stable et automatisée.

Acte 1 : pourquoi hash-based a échoué

L’idée de départ semblait solide : Hugo Pipes externalise tout le JS avec SRI, on liste les hashes dans la CSP, résultat propre. En pratique, deux problèmes ont rendu l’approche impossible.

]]> SRI sur Hugo : hashes automatiques, auto-update et alerting BetterStack https://www.arleo.eu/posts/sri-cdn-hugo-automate/ Sun, 17 May 2026 00:00:00 +0000 Jmr https://www.arleo.eu/posts/sri-cdn-hugo-automate/

Pourquoi le SRI ?

Quand votre site charge des ressources depuis un CDN tiers — FontAwesome, Mermaid, Animate.css — vous faites confiance à un tiers sur lequel vous n’avez aucun contrôle. Si jsdelivr.net est compromis ou si une version « immuable » est mutée silencieusement, votre site peut devenir vecteur d’attaque.

Le Subresource Integrity (SRI) résout ça simplement : chaque balise <link> ou <script> porte un attribut integrity="sha256-…" que le navigateur vérifie avant d’exécuter la ressource. Si le hash ne correspond pas, le navigateur bloque le chargement.

]]>