Demystifying CSP for modern applications - Philippe De Ryck - NDC Oslo 2026

Valeur des informations & solidité de l’argumentation

La valeur de cette présentation réside dans sa capacité à transformer une technologie souvent perçue comme complexe et frustrante en un outil compréhensible et actionnable. Philippe De Ryck s’appuie sur des exemples réels (site securityheaders.com) pour démontrer la prévalence de mauvaises configurations, renforçant ainsi la crédibilité de son argumentation. Son approche pédagogique, mêlant historique, schémas explicatifs et démonstrations en direct, permet de saisir concrètement l’impact de CSP sur la sécurité des applications. L’argumentation est solide : il insiste sur le fait que la plupart des politiques sont inefficaces, puis fournit des solutions précises (hashes, nonces) pour les corriger. Il n’hésite pas à critiquer des pratiques courantes comme ‘unsafe-inline’, en montrant qu’elles annihilent les bénéfices de sécurité. La démonstration avec l’application de restaurant est particulièrement convaincante, car elle montre visuellement comment CSP bloque différents types de payloads XSS. Enfin, l’orateur donne des conseils pratiques pour déployer CSP dans des environnements modernes (SPA), ce qui rend la présentation directement utile pour les développeurs.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est élevée : l’orateur cite des sources fiables (securityheaders.com, les spécifications du W3C, les bonnes pratiques de Google) et s’appuie sur une démonstration reproductible. Il distingue clairement les mécanismes de CSP (hashes, nonces) et leurs limites, ce qui témoigne d’une maîtrise technique approfondie. L’adéquation titre/contenu est parfaite : le titre annonce une démystification et le contenu tient cette promesse. Les sources mentionnées dans la description (NDC Conferences, NDC Oslo) sont des organisations de conférences reconnues, ce qui renforce la crédibilité. Aucune source discordante n’est à signaler.

Le titre reflète parfaitement le contenu : la vidéo démystifie réellement la CSP pour les applications modernes, avec des explications claires et des démos.

8/10

Conférence technique d'un expert reconnu en sécurité web (Google Developer Expert), avec des démonstrations pratiques et des exemples concrets. Le contenu est conforme aux bonnes pratiques connues en matière de Content Security Policy.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 02:00Introduction et sondage du public sur l'expérience avec CSP.
• 10:00Analyse de politiques CSP inefficaces via securityheaders.com.
• 25:00Historique de CSP et présentation de la fonction principale : contrôler l'exécution de JavaScript.
• 41:40Démonstration pratique avec l'application de restaurant et blocage des payloads XSS.
• 50:00Explication des mécanismes pour autoriser les scripts inline : unsafe-inline, hashes et nonces.
• 58:20Résumé des bonnes pratiques et conclusions pour déployer une CSP efficace.

• NDC Conferences — Organisateur de la conférence NDC.
• NDC Oslo — Site de la conférence NDC Oslo où l'enregistrement a eu lieu.
• SecurityHeaders.com — Outil utilisé dans la démonstration pour analyser les en-têtes de sécurité, dont CSP.