Restreindre l'authentification Alma en fonction de l'intervalle IP

Configuration d'en-tête CSP (content security policy - politique de sécurité du contenu) 

Vous pouvez activer et configurer les directives d'en-tête CSP pour adapter la politique de sécurité à vos applications web. Pour accéder à cette configuration, rendez-vous sur Configuration > Général > Configuration d'en-tête CSP.

1. form-action :

   • cette directive restreint les URL qui peuvent être utilisées en tant que cible pour les envois de formulaire (<form action="..." />). Elle aide à empêcher l'envoi des formulaires vers des sites malveillants.

2. base-uri :

   • cette directive restreint les URL qui peuvent être utilisées dans l'élément <base> d'un document. L'élément <base> spécifie l'URL de base à utiliser pour toutes les URL associées dans un document. Le contrôler peut empêcher les attaquants de modifier l'URL de base et de rediriger les liens vers des sites malveillants.

3. script-src :

   • cette directive spécifie des sources valides pour JavaScript. Elle aide à atténuer les attaques XSS en autorisant uniquement l'exécution de scripts provenant de sources de confiance sur la page. Par exemple, vous pouvez indiquer que les scripts doivent uniquement être chargés depuis votre propre domaine ou depuis un CDN de confiance.

4. frame-src :

   • cette directive spécifie les sources valides pour l'intégration de contenu avec <frame>, <iframe>, <object>, <embed> et <applet>. Elle aide à contrôler les sources qui peuvent être intégrées au cadre et ainsi empêcher le détournement de clics et d'autres types d'attaques basées sur le cadre.

5. connect-src :

   • cette directive restreint les URL que le document peut récupérer à l'aide de mécanismes tels que XMLHttpRequest, Fetch, WebSocket et EventSource. Elle aide à contrôler les endroits où les scripts peuvent envoyer des données, réduisant ainsi le risque de fuites de données.

6. style-src :

   • la directive HTTP Content-Security-Policy (CSP) style-src spécifie les sources valides pour les feuilles de style.

7. img-src :

   • la directive HTTP Content-Security-Policy img-src spécifie les sources valides pour les images et les favicons.

8. font-src :

   • la directive HTTP Content-Security-Policy (CSP) font-src spécifie les sources valides pour les polices chargées à l'aide de @font-face.

9. child-src :

   • la directive HTTP Content-Security-Policy (CSP) child-src définit les sources valides pour les web workers et les contextes de navigation imbriqués à l'aide d'éléments comme <frame> et <iframe>. Pour les web workers, les demandes non conformes sont traitées comme des erreurs réseau fatales par l'agent utilisateur.

10. default-src :

    • la directive HTTP Content-Security-Policy (CSP) default-src sert de solution de secours pour les autres directives de récupération CSP. Pour chaque directive absente, l'agent utilisateur cherche la directive default-src et utilise cette valeur.

Liste de redirection autorisée lors de la connexion

Pour éviter les problèmes de sécurité potentiels (vulnérabilité des redirections ouvertes), vous pouvez créer une liste de sites de confiance.

1. Vérifiez que le paramètre limit_login_redirects (Configuration > Général > Autres paramètres) est réglé sur true. 

2. Accédez à Configuration > Général > Liste de redirection autorisée.

3.  Ajoutez une nouvelle ligne pour chaque domaine de confiance. Le code est uniquement descriptif et n'est pas utilisé par Alma.

Éviter le détournement de clic (clickjacking)

Le clickjacking (ou détournement de clic) est une attaque qui trompe les utilisateurs en leur montrant une page semblant inoffensive, mais qui comprend des commandes réelles de pages sensibles. Ces commandes sont déguisées par l'utilisation de cadres d'arrière-plan qui masquent tout sauf la commande, et l'utilisateur ne peut pas voir qu'il clique réellement sur une fonction sensible sur un autre site web. Les utilisateurs sont ainsi susceptibles de télécharger un malware, de fournir des identifiants de connexion ou des informations sensibles, de transférer de l'argent ou d'acheter des produits en ligne, le tout de manière non intentionnelle.

Pour éviter le clickjacking via les produits ExLibris, Ex Libris a adopté une technique d'atténuation basée sur une règle. Les institutions peuvent désormais indiquer au navigateur les actions à réaliser si leur site est inclus dans un iframe.

1. Ouvrez le tableau Options d'intégration iFrame (Configuration > Général > Sécurité > Options d'intégration iFrame). 
2. Pour le produit et le composant souhaités, cliquez sur Personnaliser dans la liste des actions sur la lignex.

   La gestion d'Alma et d'Esploro ne peut pas être ajoutée à un cadre. Cette configuration ne peut pas être modifiée. 

3. Dans la colonne Action, sélectionnez l'action à réraliser si votre site est intégré dans un iFrame :
   • Tout autoriser (option par défaut) - Autoriser toutes les pages à charge cette page au sein d'un iFrame.
   • Autoriser protégé - Seules les pages de confiance sont autorisées à charger cette page au sein d'un iFrame. Si cette option est sélectionnée, dans la colonne Domains sûrs, indiquez les URL de confiance (le nombre d'URL pouvant être spécifiées n'est pas limité. Pour indiquer plusieurs URL, séparez-les par un espace vide.).
     Nous recommandons d'ajouter les pages de cette manière :https://*.SITEWEBICI.com, par exemple, https://*.amazon.com”.
   • Tout bloquer - Refuser toute tentative d'intégrer la page dans un cadre.
4. Cliquez sur Enregistrer.