Ce guide explique comment protéger votre site Web et ses visiteurs contre l'exploitation malveillante du MIME-Type sniffing.

Préambule

• Le MIME-Type sniffing, ou détection de type MIME, est une technique utilisée par les navigateurs Web pour déterminer le type de contenu d'une ressource lorsque le type MIME fourni par le serveur est ambigu, manquant ou incorrect.
• Bien que cela puisse parfois améliorer l'expérience utilisateur en rendant le contenu accessible malgré des erreurs de configuration serveur, cette fonctionnalité introduit également des vulnérabilités de sécurité importantes:
  • Lorsqu'un navigateur effectue un MIME-Type sniffing, il peut interpréter un fichier textuel comme un script exécutable, ouvrant ainsi la porte à des attaques par cross-site scripting (XSS) ; p.ex un fichier destiné à être traité comme du texte brut pourrait être interprété comme du JavaScript, permettant à un attaquant d'exécuter du code malveillant sur le navigateur de l'utilisateur.
• En désactivant le MIME-Type sniffing, vous protégez les visiteurs contre l'exécution non autorisée de scripts malveillants et vous renforcez également la sécurité globale de votre site Web en réduisant les vecteurs potentiels d'attaques.

Désactiver MIME-Type sniffing

Pour protéger les utilisateurs et les applications Web contre ce type de vulnérabilités, il est possible de désactiver la détection automatique du type de ressources via le fichier .htaccess de vos sites afin d'indiquer au navigateur de se fier strictement au type MIME spécifié par le serveur sans essayer de le deviner.

En plaçant le code ci-dessous dans votre fichier .htaccess, vous assurez que le MIME-Type sniffing est désactivé tant que le module mod_headers (qui permet d'ajouter l'en-tête ci-dessous) est activé sur votre serveur Apache:

1. Ouvrez le fichier .htaccess du site concerné depuis le FTP Manager ou un logiciel/client FTP.

2. Ajoutez le code suivant:

   <IfModule mod_headers.c>
       Header always set X-Content-Type-Options "nosniff"
   </IfModule>

3. Enregistrez le fichier .htaccess.