Chaque page est servie avec une Content-Security-Policy, et jusqu’ici sa règle sur les scripts autorisait n’importe quel script intégré – ce qui revenait à ne rien protéger. Chaque réponse porte désormais un jeton à usage unique dont sont marqués les scripts du site, et le navigateur refuse d’exécuter tout script qui ne l’a pas. Rien de ce qui est injecté dans une page ne peut avoir ce jeton, car il est généré à nouveau pour chaque requête. Le site ne devrait ni sembler ni se comporter différemment.
La règle de sécurité du navigateur sur les scripts resserrée
Les pages indiquent désormais au navigateur exactement quels scripts peuvent s’exécuter, pour qu’un script injecté soit bloqué même s’il arrivait un jour sur une page.