XSS

Question 1

Qu’est-ce qu’une attaque XSS?

Answer 1

Quand un attaquant injecte du JavaScript malveillant dans une page affichée aux autres utilisateurs.

Question 2

Pourquoi le XSS est dangereux pour un JWT?

Answer 2

Parce que le script peut voler un JWT stocké en Local Storage.

Question 3

Quels sont les 4 mécanismes de protection contre le XSS?

Answer 3

1. Cookies HTTP-Only → pas accessibles au JS
2. Templates sécurisés → échappement automatique
3. Input sanitization (ex: bleach) → nettoyage des entrées
4. Content Security Policy (CSP) → contrôle des scripts autorisés

Question 4

Pourquoi un cookie HTTP-Only protège contre le XSS?

Answer 4

Parce que JavaScript ne peut PAS lire le cookie, même injecté.

Question 5

Quel est l’objectif de la CSP?

Answer 5

Content Security Policy
Limiter l’exécution de scripts JS seulement aux sources autorisées.

Question 6

Avantages des cookies pour JWT?

Answer 6

• Protège contre les attaques XSS (HTTPONLY)
• Envoi automatique
• Compatible avec les politiques de sécurité modernes