618cd7efbe
Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0 intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul. Corrige aussi une faille XSS dans la page de classe, la page /cours en erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
31 lines
1 KiB
PHP
31 lines
1 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Controllers;
|
|
|
|
use Illuminate\Http\Request;
|
|
use Illuminate\Http\Response;
|
|
use Illuminate\Support\Facades\Log;
|
|
use Illuminate\Support\Str;
|
|
|
|
/**
|
|
* Reçoit les violations de CSP envoyées par les navigateurs : c'est le seul
|
|
* moyen de savoir qu'une page casse chez un élève. Seuls quelques champs
|
|
* sont gardés, tronqués, sans la chaîne de requête des URL.
|
|
*/
|
|
class RapportCspController extends Controller
|
|
{
|
|
public function __invoke(Request $request): Response
|
|
{
|
|
$rapport = json_decode($request->getContent(), true)['csp-report'] ?? null;
|
|
|
|
if (is_array($rapport)) {
|
|
Log::warning('Violation CSP', [
|
|
'page' => Str::limit(strtok((string) ($rapport['document-uri'] ?? ''), '?'), 200),
|
|
'directive' => Str::limit((string) ($rapport['violated-directive'] ?? $rapport['effective-directive'] ?? ''), 100),
|
|
'bloque' => Str::limit(strtok((string) ($rapport['blocked-uri'] ?? ''), '?'), 200),
|
|
]);
|
|
}
|
|
|
|
return response()->noContent();
|
|
}
|
|
}
|