CSP : object-src

Baseline Widely available

Cette fonctionnalité est bien établie et fonctionne sur de nombreux appareils et versions de navigateurs. Elle est disponible sur tous les navigateurs depuis ⁨août 2016⁩.

La directive HTTP Content-Security-Policy object-src spécifie les sources valides pour les éléments <object>, <embed> et <applet>.

Pour définir des types autorisés pour les éléments <object>, <embed> et <applet>.

Note : Les éléments contrôlés par object-src sont considérés comme des éléments HTML historiques et qui ne recevront pas de nouvelles fonctionnalités standardisées (comme les attributs de sécurité sandbox et allow pour <iframe>). Ainsi, il est recommandé de restreindre cette directive en définissant object-src 'none'.

Version de CSP	1
Type de directive	Directive de récupération
Utilisation de `default-src` par défaut	Oui, si cette directive est absente, l'agent utilisateur consultera la directive `default-src`.

Syntaxe

Une ou plusieurs sources peuvent être autorisées pour cette directive :

http

Content-Security-Policy: object-src <source>;
Content-Security-Policy: object-src <source> <source>;

Content-Security-Policy: object-src https://example.com/

Ces éléments <object>, <embed> et <applet> seront bloqués et ne se chargeront pas :

html

<embed src="https://not-example.com/flash"></embed>
<object data="https://not-example.com/plugin"></object>
<applet archive="https://not-example.com/java"></applet>