Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Français
Entry № 681

MIME Sniffing

Qu'est-ce que MIME Sniffing ?

MIME SniffingComportement du navigateur consistant a deviner le type de contenu d'une reponse a partir de ses octets, exploitable pour executer des fichiers televerses comme scripts.

Le MIME sniffing est une fonctionnalite heritage du navigateur: il inspecte les premiers octets d'une reponse et outrepasse le Content-Type declare par le serveur pour rendre la ressource. Les attaquants en abusent quand une application sert des fichiers televerses avec un mauvais type: un fichier contenant HTML ou JavaScript peut etre sniffe comme text/html et execute dans l'origine de la victime, conduisant a un XSS stocke. La mitigation standard consiste a envoyer l'en-tete X-Content-Type-Options: nosniff, qui force le navigateur a respecter le type declare. A combiner avec des Content-Type stricts, une CSP solide et l'hebergement du contenu utilisateur sur une origine distincte.

● Exemples

  1. 01

    X-Content-Type-Options: nosniff

  2. 02

    Endpoint d'upload d'avatar declarant image/png alors que le fichier est du HTML; sans nosniff, le navigateur l'execute comme page.

● Questions fréquentes

Qu'est-ce que MIME Sniffing ?

Comportement du navigateur consistant a deviner le type de contenu d'une reponse a partir de ses octets, exploitable pour executer des fichiers televerses comme scripts. Cette notion relève de la catégorie Sécurité applicative en cybersécurité.

Que signifie MIME Sniffing ?

Comportement du navigateur consistant a deviner le type de contenu d'une reponse a partir de ses octets, exploitable pour executer des fichiers televerses comme scripts.

Comment fonctionne MIME Sniffing ?

Le MIME sniffing est une fonctionnalite heritage du navigateur: il inspecte les premiers octets d'une reponse et outrepasse le Content-Type declare par le serveur pour rendre la ressource. Les attaquants en abusent quand une application sert des fichiers televerses avec un mauvais type: un fichier contenant HTML ou JavaScript peut etre sniffe comme text/html et execute dans l'origine de la victime, conduisant a un XSS stocke. La mitigation standard consiste a envoyer l'en-tete X-Content-Type-Options: nosniff, qui force le navigateur a respecter le type declare. A combiner avec des Content-Type stricts, une CSP solide et l'hebergement du contenu utilisateur sur une origine distincte.

Comment se défendre contre MIME Sniffing ?

Les défenses contre MIME Sniffing combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

● Termes liés