Sécurité front 2025 : CSP stricte, Trusted Types, SRI

Recette 2025 pour durcir une app Angular avec CSP stricte, Trusted Types, SRI et une hygiène supply-chain.

Durcir le front n'est plus optionnel. Voici une checklist compacte pour Angular : CSP stricte, Trusted Types, Subresource Integrity et hygiène dépendances.

CSP stricte + Trusted Types

En-tête recommandé :

Content-Security-Policy: default-src 'self'; script-src 'self' 'strict-dynamic'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; upgrade-insecure-requests; require-trusted-types-for 'script'; trusted-types angular angular#bundler; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:

Notes :

trusted-types angular active la politique auto-générée par Angular pour sécuriser les sinks DOM.
script-src 'strict-dynamic' fonctionne avec les nonces/