De nombreuses attaques contre les applications web passent par le navigateur. ZelixAI applique plusieurs mesures standard pour s'en protéger.
CSRF : toute modification dans le portail exige un jeton CSRF lié à votre session, de sorte qu'un formulaire sur un autre site ne peut pas effectuer de modifications en votre nom. La CSP (Content Security Policy) limite les sources depuis lesquelles le navigateur peut charger des scripts, des styles et d'autres contenus. Les scripts inline restent autorisés : la CSP est donc ici une restriction, pas un blocage complet.
HSTS indique au navigateur, après la première visite, de n'utiliser que HTTPS pendant un an, sous-domaines compris. Nous envoyons en outre X-Frame-Options contre l'intégration dans d'autres sites (clickjacking) et nosniff, afin que le navigateur ne devine pas les types de fichiers.