Quelles sont les considérations de sécurité HTML5 les plus importantes ?

1 Partage de ressources d’origine croisée

Partage de ressources d’origine croisée (CORS

2 Scripts intersites

Scripts intersites (XSS) est un type d’attaque qui injecte du code malveillant dans une page Web, généralement par le biais d’une entrée utilisateur ou d’un script vulnérable. Le code peut ensuite accéder aux cookies de l’utilisateur, aux données de session ou à d’autres informations stockées sur le navigateur, ou effectuer des actions au nom de l’utilisateur, telles que le vol d’informations d’identification, la redirection vers des sites de phishing ou la propagation de logiciels malveillants. HTML5 introduit de nouveaux éléments et attributs qui peuvent être utilisés pour exécuter du code, tels que <toile>, <svg

3 Stockage Web

Le stockage Web est une fonctionnalité qui permet aux pages Web de stocker des données localement sur le navigateur de l’utilisateur, à l’aide des objets sessionStorage ou localStorage. Cela peut améliorer l’expérience utilisateur et les performances des applications Web, ainsi que permettre l’accès et la persistance hors connexion. Cependant, cela soulève également des problèmes de sécurité, tels que la fuite de données, l’accès non autorisé ou la falsification. Si une page Web stocke des données sensibles dans un stockage Web, elle peut être exposée à d’autres pages Web de la même origine, ou à des attaques XSS qui peuvent lire ou modifier les données. Pour éviter cela, les développeurs Web doivent chiffrer et hacher les données avant de les stocker, utiliser HTTPS pour protéger les données en transit et utiliser la politique de même origine pour restreindre l’accès aux données.

4 Travailleurs Web

Les Web Workers sont une fonctionnalité qui permet aux pages Web d’exécuter des scripts en arrière-plan, sans bloquer le thread principal ou l’interface utilisateur. Cela peut améliorer les performances et les fonctionnalités des applications Web, en particulier pour les tâches qui nécessitent un calcul intensif ou une communication réseau. Cependant, il présente également des risques de sécurité, tels que l’injection de code, l’épuisement des ressources ou le déni de service. Si une page web crée un web worker à partir d’une source non approuvée, elle peut exécuter un code malveillant susceptible d’accéder aux données ou aux ressources de l’utilisateur, ou d’interférer avec les fonctionnalités de la page web. Pour éviter cela, les développeurs web doivent utiliser la stratégie de même origine pour limiter les sources des web workers, utiliser CSP pour restreindre les types et le contenu des scripts, et utiliser la méthode terminate() méthode pour arrêter les web workers lorsqu’ils ne sont pas nécessaires.

5 Web Sockets

Les Web Sockets sont une fonctionnalité qui permet aux pages Web d’établir un canal de communication bidirectionnel et persistant avec un serveur, à l’aide de l’API et du protocole WebSocket. Cela peut permettre d’activer des applications Web interactives et en temps réel, telles que le chat, les jeux ou le streaming. Cependant, il présente également des défis et des risques de sécurité, tels que la falsification de requêtes intersites, le cross-site scripting ou les attaques de l’homme du milieu. Si une page Web utilise des sockets Web sans authentification ni autorisation appropriées, elle peut permettre à des utilisateurs non autorisés ou malveillants d’accéder aux données ou à la connexion ou de les manipuler. Pour éviter cela, les développeurs Web doivent utiliser HTTPS pour sécuriser la connexion Web Socket, utiliser des jetons ou des cookies pour vérifier l’identité et les autorisations des utilisateurs, et utiliser CSP et CORS pour contrôler les sources et les destinations des messages Web Socket.