Configuration de la stratégie de sécurité du contenu (CSP)

Qu’est-ce que la politique de sécurité du contenu ?

La stratégie de sécurité du contenu (CSP) est un en-tête de réponse HTTP qui permet de protéger votre boutique contre les scripts intersites (XSS) et autres attaques par injection de code. Avec CSP, vous contrôlez les scripts, styles, images et autres ressources que les navigateurs peuvent charger sur vos pages.

Lorsque vous configurez des en-têtes CSP pour votre boutique en ligne, les navigateurs appliquent ces stratégies en bloquant tout contenu qui ne correspond pas aux règles que vous avez spécifiées.

Responsabilité du client vis-à-vis du fournisseur de services Cloud

La configuration du CSP relève de votre responsabilité en tant que client B2C Commerce. Salesforce ne gère ni ne configure CSP en votre nom. Vous contrôlez les scripts, styles et autres ressources qui peuvent être chargés sur votre boutique en ligne. Vous devez vous assurer que la configuration de votre fournisseur de services Cloud autorise l’exécution de tous les scripts nécessaires, y compris les scripts fournis par Salesforce et toutes les intégrations tierces. Si votre CSP est trop restrictif, il peut bloquer les scripts dont votre boutique en ligne a besoin pour fonctionner correctement.

Scripts qui nécessitent la prise en compte du CSP

Lors de la configuration de votre fournisseur de services cloud, assurez-vous que votre stratégie autorise les types de scripts suivants :

• Scripts d’analyse Salesforce: scripts tels que dwanalytics qui fournissent des fonctionnalités de suivi et d’analyse.
• Scripts en ligne: scripts incorporés directement dans vos pages HTML qui sont requis pour la fonctionnalité de la boutique en ligne.
• Scripts Einstein — Scripts qui alimentent les recommandations Einstein, le tri prédictif et d’autres fonctionnalités de personnalisation.

Dépannage des problèmes CSP

Si les fonctionnalités de la boutique en ligne ne fonctionnent pas comme prévu, les restrictions CSP peuvent bloquer les scripts requis. Pour diagnostiquer les problèmes de CSP, ouvrez les outils de développement de votre navigateur et recherchez les erreurs de violation de CSP dans l’onglet Console. Examinez ensuite les messages d’erreur pour identifier les scripts ou les ressources bloqués. Enfin, mettez à jour la configuration de votre fournisseur de services Cloud pour autoriser les ressources bloquées.

Travaillez avec votre équipe de développement pour examiner et ajuster vos paramètres CSP afin d’autoriser tous les scripts requis tout en maintenant des protections de sécurité appropriées.