Intégrité des sous-ressources (SRI).

L'intégrité des sous-ressources, standardisée comme Recommandation du W3C en 2016, se configure avec un attribut integrity sur les balises script ou link contenant un ou plusieurs résumés SHA-256/384/512 encodés en base64 du fichier attendu. Le navigateur télécharge la ressource, recalcule le résumé et refuse de l'exécuter ou de l'appliquer si aucun des hachages listés ne correspond ; plusieurs hachages séparés par des espaces permettent à une page d'accepter plusieurs versions connues comme valides. Parce que la SRI exige de connaître les octets exacts à l'avance, elle protège les ressources statiques et épinglées à une version plutôt que celles générées dynamiquement.

La SRI est la principale défense côté client contre la compromission d'un CDN et le détournement de scripts tiers, comme la famille Magecart. L'attaque Polyfill.io montre pourquoi elle est essentielle : après le rachat du domaine cdn.polyfill.io par un nouveau propriétaire en février 2024, le CDN a commencé à diffuser des charges utiles qui redirigeaient les utilisateurs mobiles vers des sites frauduleux — découverte par Sansec le 25 juin 2024 et affectant plus de 100 000 sites (référencée sous CVE-2024-38526). Toute page ayant épinglé un hash integrity aurait bloqué d'emblée le fichier modifié, car le résumé ne correspondait plus.

La SRI fonctionne de concert avec la CSP et l'attribut crossorigin, et doit être combinée à un épinglage de version et à une régénération automatisée des hachages dans la chaîne de build afin que le code et le résumé ne se désynchronisent jamais.

flowchart TD
  A["Le navigateur analyse la balise<br/>avec l'attribut integrity"] --> B[Télécharger la ressource depuis le CDN]
  B --> C[Calculer le résumé SHA-256/384/512]
  C --> D{Le résumé correspond-il<br/>à un hash listé ?}
  D -->|Oui| E[Exécuter / appliquer la ressource]
  D -->|Non — altéré ou substitué| F[Bloquer et lever une erreur]