Disable CSP : couper la Content-Security-Policy dans Chrome le temps de vos tests

Disable CSP est une extension Chrome gratuite et open source pour les développeurs et testeurs web. Un clic sur son icône dans la barre d'outils retire les en-têtes Content-Security-Policy des pages que vous chargez, pour que les scripts, styles ou frames bloqués puissent s'exécuter pendant le débogage ; un second clic les rétablit. Une icône en couleur signifie que la CSP est désactivée.

82 utilisateurs Open source (MIT)
Ajouter à Chrome, gratuit Code source sur GitHub
Page d'options de Disable CSP expliquant ce qu'est la Content Security Policy et les risques de la désactiver
La page d'options explique contre quoi la CSP protège avant que vous ne la désactiviez.

La Content-Security-Policy (CSP) est un en-tête de sécurité qui indique au navigateur depuis quelles sources une page peut charger des scripts, des styles et des frames. Elle protège les utilisateurs contre le cross-site scripting (XSS), mais elle gêne aussi quand vous injectez un script de débogage, testez un widget tiers ou analysez un site.

Utilisez Disable CSP uniquement pour les tests et le développement, et désactivez-la une fois terminé : tant qu'elle est active, la protection CSP est retirée sur tous les sites que vous visitez.

Ce que fait Disable CSP

Activation en un clic

Cliquez sur l'icône de l'extension pour désactiver la CSP ; cliquez à nouveau pour la réactiver. L'icône est en couleur tant que la CSP est désactivée et grise quand la CSP est active.

Retire les trois en-têtes CSP

Elle retire Content-Security-Policy, X-Content-Security-Policy et X-WebKit-CSP des réponses des pages et des frames, grâce aux règles declarativeNetRequest de Chrome.

Mémorise son état

L'état activé/désactivé est enregistré dans le stockage de Chrome et survit donc à un redémarrage du navigateur. Vérifiez l'icône avant de reprendre une navigation normale.

Anglais et français

L'extension et sa page d'options sont disponibles en anglais et en français.

Captures d'écran

Page d'options de Disable CSP expliquant ce qu'est la Content Security Policy et les risques de la désactiver
La page d'options explique contre quoi la CSP protège avant que vous ne la désactiviez.

Installation

  1. Ouvrez Disable CSP sur le Chrome Web Store et cliquez sur Ajouter à Chrome.
  2. Épinglez l'icône depuis le menu en forme de pièce de puzzle pour toujours voir si la CSP est active ou non.
  3. Cliquez sur l'icône pour désactiver la CSP, puis rechargez la page que vous testez.
  4. Cliquez à nouveau une fois terminé pour rétablir la CSP.
Ajouter à Chrome, gratuit

Les autorisations expliquées

  • declarativeNetRequestRetirer les en-têtes CSP des réponses grâce à une règle réseau de Chrome.
  • declarativeNetRequestWithHostAccessAppliquer cette règle aux sites que vous visitez.
  • storageMémoriser si la CSP est actuellement désactivée.
  • activeTabAccès temporaire à l'onglet en cours, accordé uniquement quand vous cliquez sur l'icône de la barre d'outils.
  • <all_urls>Agir sur tous les sites, car les en-têtes CSP peuvent venir de n'importe quel site.

Confidentialité

Disable CSP ne collecte ni n'envoie aucune donnée. Sa fiche sur le Chrome Web Store déclare qu'elle ne collecte ni n'utilise vos données, et son code n'enregistre qu'un seul réglage activé/désactivé.

Questions fréquentes

Qu'est-ce que la Content-Security-Policy ?

Un en-tête de réponse qui liste les sources depuis lesquelles une page peut charger des scripts, des styles, des images et des frames. Les navigateurs bloquent tout ce qui sort de cette liste, ce qui empêche de nombreuses attaques de cross-site scripting (XSS).

Est-ce dangereux de désactiver la CSP ?

Ne le faites que pour vos tests. Sans CSP, les pages perdent une couche de protection contre les scripts injectés. Désactivez l'extension dès que vous avez terminé, et ne la laissez pas active pour votre navigation quotidienne.

Désactive-t-elle la CSP sur un seul site ?

Non. Quand elle est active, les en-têtes CSP sont retirés de toutes les pages et frames que vous chargez. C'est pour cela que l'icône change de couleur : elle montre d'un coup d'œil que la CSP est désactivée partout.

Retire-t-elle la CSP définie dans une balise meta ?

Non. Elle retire la CSP envoyée dans les en-têtes de réponse HTTP. Une politique écrite dans la page sous la forme <meta http-equiv="Content-Security-Policy"> fait partie du HTML et n'est pas modifiée.

Aussi chez FuryBee

Tabee: Tab Modifier Des règles par URL qui renomment les onglets, changent leur icône, les épinglent, les groupent, coupent leur son, les protègent et ferment les doublons. Feedee Vérifie vos flux RSS et Atom, vous signale les nouveaux articles et les liste dans le panneau latéral. ThèmesSix thèmes de couleur légers pour Chrome, du sombre au pastel.