En-tête Reporting-Endpoints
Baseline
2024
*
Nouvellement disponible
Depuis September 2024, cette fonctionnalité fonctionne sur les appareils et les versions de navigateur les plus récents. Elle peut ne pas fonctionner sur les appareils ou navigateurs plus anciens.
* Certaines parties de cette fonctionnalité peuvent bénéficier de prise en charge variables.
L'en-tête de réponse HTTP Reporting-Endpoints permet aux administrateur·ice·s de sites de définir un ou plusieurs points de terminaison vers lesquels peuvent être envoyés des rapports générés par l'API Reporting.
Les points de terminaison peuvent être utilisés, par exemple, comme cibles pour l'envoi de rapports de plantage, de rapports de dépréciation, de rapports d'infraction de la Politique de sécurité du contenu (CSP), de rapports Cross-Origin-Opener-Policy, et ainsi de suite.
Note :
Cet en-tête remplace Report-To pour déclarer des points de terminaison, et doit être utilisé de préférence.
| Type d'en-tête | En-tête de réponse |
|---|---|
| En-tête de réponse autorisé par CORS | Non |
Syntaxe
Reporting-Endpoints: <endpoint>
Reporting-Endpoints: <endpoint>, …, <endpointN>
<endpoint>-
Un point de terminaison de signalement au format
<endpoint-name>="<URL>". Les points de terminaison doivent posséder des URI valides dans des chaînes de caractères entre guillemets (par exemple,my-endpoint="https://exemple.com/rapports") et les points de terminaison non sécurisés sont ignorés. Une liste de points de terminaison séparés par des virgules peut être fournie.
Description
L'en-tête Reporting-Endpoints définit la correspondance entre un nom de point de terminaison et une URL.
Ce nom peut être utilisé pour identifier le point de terminaison de signalement pour les violations de politique dans certains en-têtes HTTP.
Par exemple, l'en-tête Content-Security-Policy permet de définir le nom du point de terminaison de signalement dans sa directive report-to, tandis que la clé endpoints sert le même objectif pour les violations de Integrity-Policy.
Point de terminaison de rapport par défaut
Le point de terminaison de rapport par défaut est simplement un rapport avec le nom "default", comme indiqué :
Reporting-Endpoints: default="https://exemple.com/rapports"
Cela peut être utilisé comme point de terminaison de signalement pour les cas où l'en-tête HTTP qui déclenche un rapport n'a pas de mécanisme pour signaler le point de terminaison, comme l'en-tête Permissions-Policy.
Il peut également être utilisé comme point de terminaison pour les rapports où il n'y a pas d'en-tête HTTP associé, comme pour les rapports de dépréciation.
Exemples
Définir un point de terminaison de rapport d'infraction CSP
L'exemple suivant montre comment l'en-tête de réponse Reporting-Endpoints est utilisé conjointement avec l'en-tête Content-Security-Policy pour indiquer où les rapports d'infraction CSP sont envoyés :
Reporting-Endpoints: csp-endpoint="https://exemple.com/csp-reports"
Content-Security-Policy: default-src 'self'; report-to csp-endpoint
Définir plusieurs points de terminaison de signalement
Il est possible de définir plusieurs points de terminaison pouvant être utilisés pour différents types de rapports de violation.
Reporting-Endpoints: csp-endpoint="https://exemple.com/csp-reports",
permissions-endpoint="https://exemple.com/permissions-policy-reports"
Spécifications
| Spécification |
|---|
| Reporting API # header-field-registration |
Compatibilité des navigateurs
Voir aussi
- L'API Reporting
- Politique de sécurité du contenu (CSP) guide
- L'en-tête
Content-Security-Policy - La directive CSP
report-to