---
schema_version: "1"
id: dbb33928d356126b31800fdf2be64608704c8068e919382ab72a7f580601de1c
title: Stratégie de sécurité du contenu
collection: tableau
version: current
locale: fr-fr
portal_url: https://docs.salesforce.com/tableau/current/fr-fr/server-linux/security_csp.md
canonical_url: https://help.tableau.com/current/server-linux/fr-fr/security_csp.htm
source_site: help.tableau.com
content_type: documentation
content_hash: 18bf241bbaa419b97f29d2183b9727bbeac7cf46a807bfff2ccbcdce2fa772b3
description: Configure and enable Content Security Policy on Tableau Server.
---
[Passer au contenu principal](#main-content)

# Stratégie de sécurité du contenu

Tableau Server prend en charge la norme CSP (Content Security Policy, ou stratégie de sécurité du contenu). CSP est conçu comme une couche supplémentaire de sécurité pour les scripts inter-sites et autres attaques malveillantes basées sur le Web. CSP est implémenté comme un en-tête de réponse HTTP qui vous permet de spécifier les emplacements d’où les ressources externes, par exemple des scripts ou des images, peuvent être chargées en toute sécurité.

Consultez le [site Web de Mozilla](https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP) pour plus d’information sur CSP.

## Configurer et activer CSP

Vous pouvez configurer et activer CSP à l’aide de la commande [Options tsm configuration set](https://help.tableau.com/current/server-linux/fr-fr/cli_configuration-set_tsm.htm). Si vous exécutez Tableau Server dans un déploiement distribué, exécutez ces commandes sur le nœud initial du cluster. La configuration sera appliquée à tout le cluster après l’exécution de [tsm pending-changes apply](https://help.tableau.com/current/server-linux/fr-fr/cli_pending-changes.htm#pending-changes-apply).

### Étape 1 : Définir les directives par défaut

Tableau Server inclut l’ensemble de directives par défaut dans la table ci-dessous.

Pour définir une directive, utilisez la syntaxe tsm suivante :

`tsm configuration set -k content_security_policy.directive.<directive_name> -v "<value>"`

Par exemple, pour définir la directive `connect_src`, exécutez la commande suivante :

`tsm configuration set -k content_security_policy.directive.connect_src -v "* unsafe-inline"`

<table style="width: 100%;" class="simple-table"><colgroup><col style="width: 45%;"><col style="width: 20%;"><col style="width: 25%;"></colgroup><tbody><tr><th>Option</th><th>Valeur par défaut</th><th><p>Description</p></th></tr><tr><td>content_security_policy.directive.default_src</td><td>‘none’</td><td><p>Fait office de commande de secours pour les autres directives de récupération.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/default-src" target="_blank">Valeurs valides pour <code>default_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.connect_src</td><td>*</td><td><p>Limite les URL qui peuvent être chargées à l’aide d’interfaces de script.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/connect-src" target="_blank">Valeurs valides pour <code>connect_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.script_src</td><td>*</td><td><p>Spécifie les sources valides pour JavaScript.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/script-src" target="_blank">Valeurs valides pour <code>script_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.style_src</td><td>* ‘unsafe-inline’</td><td><p>Spécifie les sources valides pour les feuilles de style.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/style-src" target="_blank">Valeurs valides pour <code>style_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.img_src</td><td>* data:</td><td><p>Spécifie les sources valides pour les images et les icônes favorites.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/img-src" target="_blank">Valeurs valides pour <code>img_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.font_src</td><td>* data:</td><td><p>Spécifie les sources valides pour les polices chargées à l’aide de @font-face.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/font-src" target="_blank">Valeurs valides pour <code>font_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.frame_src</td><td>* data:</td><td><p>Spécifie les sources valides pour le chargement de contextes de navigation imbriqués à l’aide d’éléments tels que &lt;frame&gt; et &lt;iframe&gt;.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-src" target="_blank">Valeurs valides pour <code>frame_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.object_src</td><td>data:</td><td><p>Spécifie les sources valides pour les éléments &lt;object&gt;, &lt;embed&gt;, et &lt;applet&gt;.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/object-src" target="_blank">Valeurs valides pour <code>object_src</code></a>.</p></td></tr><tr><td>content_security_policy.directive.report_uri</td><td>/vizql/csp-report</td><td><p>Demande à l’utilisateur de signaler les tentatives d’infraction de la norme CSP. Ces rapports d’infraction consistent en des documents JSON envoyés via une demande HTTP POST à l’URI spécifiée.</p><p><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/report-uri" target="_blank">Valeurs valides pour <code>report_uri</code></a>.</p></td></tr></tbody></table>

### Étape 2 : Ajouter des directives supplémentaires (facultatif)

Les directives par défaut incluses avec Tableau Server sont un sous-ensemble des directives prises en charge par CSP.

Pour une liste des directives CSP prises en charge, consultez [https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy).

Vous pouvez ajouter des directives à l’ensemble par défaut existant, en ajoutant la nouvelle directive dans l’espace de nom content\_security\_policy.directive. Vous devez inclure le paramètre `--force-keys` lorsque vous ajoutez de nouvelles directives. La syntaxe est la suivante :

`tsm configuration set -k content_security_policy.directive.<new_directive_name> -v "<value>" --force-keys`

Par exemple, pour ajouter la directive [`worker-src`](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/worker-src), exécutez la commande suivante :

`tsm configuration set -k content_security_policy.directive.worker-src -v "none" --force-keys`

### Étape 3 : Spécifier des directives de rapport uniquement (facultatif)

Vous pouvez configurer CPS pour que certaines directives fassent l’objet de rapports et que d’autres soient appliquées. Lorsque vous définissez content\_security\_policy.enforce\_enabled sur « true », toutes les directives sont appliquées (même si content\_security\_policy.report\_only\_enable est également défini sur sur « true »).

Pour spécifier des directives comme « rapport uniquement » et non pas appliquées, ajoutez les directives à l’espace de noms report\_only\_directive. Vous devez inclure le paramètre `--force-keys` lorsque vous ajoutez de nouvelles directives. La syntaxe est la suivante :

`tsm configuration set -k content_security_policy.report_only_directive.<directive_name> -v "<value>" --force-keys`

Par exemple, pour que la directive `script_src` fasse l’objet d’un rapport uniquement, exécutez la commande suivante :

`tsm configuration set -k content_security_policy.report_only_directive.script_src -v " http://*.example.com" --force-keys`

### Étape 4 : Activer CSP sur Tableau Server

Après avoir configuré les directives, activez CSP sur Tableau Server.

Les options suivantes sont utilisées pour activer le mode Application ou Rapport uniquement pour les directives que vous avez définies.

<table style="width: 100%;" class="simple-table"><colgroup><col style="width: 45%;"><col style="width: 20%;"><col style="width: 25%;"></colgroup><tbody><tr><th>Option</th><th>Valeur par défaut</th><th><p>Description</p></th></tr><tr><td>content_security_policy.enforce_enabled</td><td>false</td><td><p>Ajoute un en-tête CSP à toutes les demandes afin que toute infraction soit appliquée par le navigateur.</p></td></tr><tr><td>content_security_policy.report_only_enabled</td><td>true</td><td>Ajoute un en-tête CSP à toutes les demandes afin que toutes les infractions soit enregistrées dans nos journaux vizql-client, mais non appliquées par le navigateur.</td></tr></tbody></table>

Pour activer l’application des directives CSP que vous avez spécifiées, exécutez la commande suivante :

`tsm configuration set -k content_security_policy.enforce_enabled -v true`

### Étape 5 : Exécuter tsm pending-changes apply

Une fois que vous avez fini de configurer CSP, exécutez [tsm pending-changes apply](https://help.tableau.com/current/server-linux/fr-fr/cli_pending-changes.htm#pending-changes-apply).

Si les modifications en attente nécessitent un redémarrage du serveur, la commande `pending-changes apply` affichera une invite pour vous informer qu’un redémarrage va avoir lieu. Cette invite s’affiche même si le serveur est arrêté, mais dans ce cas, il n’y a pas de redémarrage. Vous pouvez supprimer l’invite à l’aide de l’option `--ignore-prompt`, mais cela ne modifiera pas le comportement de redémarrage. Si les modifications ne nécessitent pas de redémarrage, les modifications sont appliquées sans invite. Pour plus d’informations, consultez [tsm pending-changes apply](https://help.tableau.com/current/server-linux/fr-fr/cli_pending-changes.htm#pending-changes-apply).

## Afficher le rapport CSP

Pour afficher les infractions à CSP pour une visualisation donnée, chargez la visualisation dans un navigateur qui inclut des outils de développeur. Cet exemple utilise le navigateur Chrome.

1. Chargez une visualisation de test comportant des infractions et hébergée sur le déploiement Tableau Server où vous avez configuré CSP.
2. Entrez `CTRL+Shift+I` pour ouvrir les outils de développeur dans Chrome.
3. Cliquez sur l’onglet **Réseau**.
4. Dans le champ **Filtre**, entrez `csp-report`, puis cliquez sur **Trouver tout**.
    
    - S’il n’y a pas d’infractions, la recherche ne renvoie pas de rapports CSP.
    - S’il y a des infractions, cliquez sur l’onglet En-têtes dans le volet Résultats et faites défiler jusqu’en bas pour afficher **Charge utile de la demande**.