Security - Catégorie - arleo.euhttps://www.arleo.eu/categories/security/Security - Catégorie - arleo.euHugo -- gohugo.iofrSun, 16 Aug 2026 09:10:08 +0000Hall of Fame — Sécuritéhttps://www.arleo.eu/hall-of-fame/Sun, 16 Aug 2026 09:10:08 +0000Jmrhttps://www.arleo.eu/hall-of-fame/Cette page remercie publiquement les personnes ayant signalé une vulnérabilité de sécurité sur ce site dans le cadre d’une divulgation responsable.

Comment signaler

La procédure complète (contact, clé PGP, délai de correction) est décrite dans security.txt (RFC 9116) — c’est la source unique et faisant foi. Merci de signaler toute vulnérabilité de manière responsable, sans exploitation au-delà de ce qui est strictement nécessaire pour la démontrer. Sur demande, votre signalement peut rester anonyme.

]]>CSP A+ avec Hugo et Cloudflare : allowlist d’originehttps://www.arleo.eu/posts/csp-a-plus-hugo-cloudflare-origin-allowlist/Thu, 28 May 2026 23:40:12 +0200Jmrhttps://www.arleo.eu/posts/csp-a-plus-hugo-cloudflare-origin-allowlist/
Ce qui s'est passé
  • Date : 28 mai 2026
  • Sévérité : N/A — durcissement planifié, pas un incident
  • Statut : Résolu — A+ 140/100 sur Mozilla Observatory
  • Impact : CSP stricte zero-inline obtenue via origin allowlist après l’échec de deux stratégies (nonces, hashes) ; monitoring automatique et rollback ajoutés

En bref

arleo.eu tourne sur Hugo (VM KVM) → OpenResty (NUC) → Cloudflare (CDN/WAF). Objectif : score A+ sur Mozilla Observatory avec une CSP stricte qui résiste aux injections côté edge.

]]>SRI Hugo : hashes automatiques et monitoring CDNhttps://www.arleo.eu/posts/sri-cdn-hugo-automate/Sun, 17 May 2026 00:00:00 +0000Jmrhttps://www.arleo.eu/posts/sri-cdn-hugo-automate/

En bref

Quand votre site charge des ressources depuis un CDN tiers — FontAwesome, Mermaid, Animate.css — vous faites confiance à un tiers sur lequel vous n’avez aucun contrôle. Si jsdelivr.net est compromis ou si une version « immuable » est mutée silencieusement, votre site peut devenir vecteur d’attaque.

Le Subresource Integrity (SRI) résout ça simplement : chaque balise <link> ou <script> porte un attribut integrity="sha256-…" que le navigateur vérifie avant d’exécuter la ressource. Si le hash ne correspond pas, le navigateur bloque le chargement.

]]>