Les en‑têtes HTTP comme première ligne de défense des APIs et du front 🇫🇷

Les en‑têtes HTTP de sécurité sont souvent vus comme un détail de configuration, alors qu’ils structurent en profondeur le modèle de sécurité du web : quelles ressources peuvent être partagées entre sites, comment les pages sont isolées entre elles, quels comportements du navigateur sont autorisés ou non, etc.

Entre les règles de navigation entre origines, les politiques de chargement de ressources et les mécanismes d’isolation des pages, il devient difficile de garder une vision claire.

Ce talk propose une vision globale et pragmatique de la sécurité. À partir de cas concrets, nous verrons comment raisonner en termes d’origines, de contextes de navigation et de types de ressources, puis comment traduire ce modèle dans la configuration d’une API Platform en production, du local jusqu’aux environnements publics. L’objectif : repartir avec une grille de lecture claire et quelques configurations clés pour durcir vos APIs et votre frontend.