Intégrité des sous-ressources (SRI)
Qu'est-ce que Intégrité des sous-ressources (SRI) ?
Intégrité des sous-ressources (SRI)Mécanisme du navigateur qui vérifie un hash cryptographique d'un script ou d'une feuille de styles tiers avant son exécution, empêchant tout fichier altéré de s'exécuter.
La SRI se configure avec l'attribut « integrity » sur les balises « script » ou « link », contenant un ou plusieurs résumés SHA-256/384/512 en base64 du fichier attendu. Le navigateur télécharge la ressource, recalcule le digest et refuse de l'exécuter ou de l'appliquer si les empreintes ne correspondent pas. La SRI est la principale défense contre la compromission d'un CDN, le détournement de scripts tiers et les attaques de chaîne d'approvisionnement contre le code client telles que la famille Magecart. Elle se combine naturellement avec la CSP et l'attribut « crossorigin », et doit s'accompagner d'un épinglage de version et de mises à jour automatisées pour garder hash et code synchronisés.
● Exemples
- 01
« <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script> ».
- 02
Directive CSP « require-sri-for script style » (là où elle est supportée) pour imposer la SRI sur toutes les sous-ressources.
● Questions fréquentes
Qu'est-ce que Intégrité des sous-ressources (SRI) ?
Mécanisme du navigateur qui vérifie un hash cryptographique d'un script ou d'une feuille de styles tiers avant son exécution, empêchant tout fichier altéré de s'exécuter. Cette notion relève de la catégorie Sécurité applicative en cybersécurité.
Que signifie Intégrité des sous-ressources (SRI) ?
Mécanisme du navigateur qui vérifie un hash cryptographique d'un script ou d'une feuille de styles tiers avant son exécution, empêchant tout fichier altéré de s'exécuter.
Comment se défendre contre Intégrité des sous-ressources (SRI) ?
Les défenses contre Intégrité des sous-ressources (SRI) combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Intégrité des sous-ressources (SRI) ?
Noms alternatifs courants : SRI.