Sécurité de ce site

Un portfolio n’a rien à cacher, mais il doit protéger ses visiteurs. Voici, en langage simple, ce que fait ce site.

Aucun traceur, aucun cookie

Pas de Google Analytics, pas de pixel publicitaire, pas de témoin (cookie). Le site ne charge aucun script d’une autre entreprise. Seul un choix de thème clair ou sombre peut être mémorisé dans votre navigateur, et il n’en sort jamais.

Content-Security-Policy (CSP)

Une liste stricte de ce que le navigateur a le droit de charger : uniquement des fichiers venant de ce site. Si quelqu’un tentait d’injecter un script malveillant, le navigateur refuserait de l’exécuter.

Strict-Transport-Security (HSTS)

Oblige le navigateur à toujours utiliser une connexion chiffrée (HTTPS) avec ce site, même si on tape l’adresse sans « https ».

X-Content-Type-Options

Empêche le navigateur de « deviner » le type d’un fichier, une technique parfois utilisée pour faire passer un fichier piégé pour une image.

Referrer-Policy

Limite ce que les autres sites apprennent quand vous cliquez sur un lien sortant : ils voient le nom du site, pas la page exacte.

Permissions-Policy

Interdit l’accès à la caméra, au micro, à la géolocalisation et aux paiements. Ce site n’en a pas besoin, donc personne ne peut s’en servir à travers lui.

Protection contre l’intégration (frame-ancestors)

Le site ne peut pas être affiché à l’intérieur d’un autre site, ce qui bloque les tentatives de faux clics (« clickjacking »).

Formulaire de contact

Les messages sont reçus par Netlify, l’hébergeur du site, et ne servent qu’à me joindre. Un champ invisible piège les robots qui envoient du pourriel. L’adresse courriel n’apparaît pas en clair dans les pages du site, pour échapper aux robots qui récoltent les adresses.

Signaler un problème

Le fichier /.well-known/security.txt indique comment me signaler une faille de sécurité.