Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Français
Entry № 1179

Trusted Types

Qu'est-ce que Trusted Types ?

Trusted TypesAPI navigateur et directive CSP qui previent le XSS DOM en exigeant que les sinks dangereux recoivent des valeurs typees validees par une politique, et non des chaines brutes.

Trusted Types est une defense concue par Google et standardisee au W3C pour eliminer le XSS DOM. Active via les directives CSP require-trusted-types-for et trusted-types, le navigateur refuse d'executer des sinks comme innerHTML, document.write, eval ou script.src lorsqu'ils recoivent une simple chaine. Le code doit construire des objets typees (TrustedHTML, TrustedScript, TrustedScriptURL) via des politiques nommees et auditees. Toutes les ecritures DOM dangereuses passent ainsi par une surface restreinte et revisable, ce qui elimine la plupart des sinks XSS historiques. Largement deploye chez Google, Bing, Shopify et d'autres grands acteurs du web.

● Exemples

  1. 01

    Content-Security-Policy: require-trusted-types-for 'script'; trusted-types default;

  2. 02

    Remplacer element.innerHTML = userInput par element.innerHTML = policy.createHTML(userInput).

● Questions fréquentes

Qu'est-ce que Trusted Types ?

API navigateur et directive CSP qui previent le XSS DOM en exigeant que les sinks dangereux recoivent des valeurs typees validees par une politique, et non des chaines brutes. Cette notion relève de la catégorie Sécurité applicative en cybersécurité.

Que signifie Trusted Types ?

API navigateur et directive CSP qui previent le XSS DOM en exigeant que les sinks dangereux recoivent des valeurs typees validees par une politique, et non des chaines brutes.

Comment fonctionne Trusted Types ?

Trusted Types est une defense concue par Google et standardisee au W3C pour eliminer le XSS DOM. Active via les directives CSP require-trusted-types-for et trusted-types, le navigateur refuse d'executer des sinks comme innerHTML, document.write, eval ou script.src lorsqu'ils recoivent une simple chaine. Le code doit construire des objets typees (TrustedHTML, TrustedScript, TrustedScriptURL) via des politiques nommees et auditees. Toutes les ecritures DOM dangereuses passent ainsi par une surface restreinte et revisable, ce qui elimine la plupart des sinks XSS historiques. Largement deploye chez Google, Bing, Shopify et d'autres grands acteurs du web.

Comment se défendre contre Trusted Types ?

Les défenses contre Trusted Types combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

● Termes liés

● Voir aussi