En détail
On ajoute un attribut integrity contenant une ou plusieurs empreintes (sha256-, sha384- ou sha512- suivis d'une empreinte en Base64) à une balise <script> ou <link rel="stylesheet">. Le navigateur télécharge le fichier, calcule son empreinte et ne l'exécute que si l'une correspond. Pour les fichiers d'une autre origine, on ajoute aussi crossorigin="anonymous" afin que la réponse puisse être lue pour la vérification.
Pourquoi c'est important
Quand vous chargez une bibliothèque depuis un CDN ou un autre tiers, celui qui contrôle ce serveur contrôle votre page. SRI limite les dégâts d'un fichier compromis ou altéré, ce qui explique que les attaques de la chaîne d'approvisionnement visant des scripts populaires en aient fait un conseil standard. Le prix : il faut mettre à jour l'empreinte à chaque changement du fichier. Générez les empreintes avec le générateur de hachage SRI.
Exemple
<script src="https://cdn.example.com/app.js"
integrity="sha384-H8BRh8j48O9oYatfu5AZzq6A9RINhZO5H16dQZngK7T62em8MUt1FLm52t+eX6xO"
crossorigin="anonymous"></script>
L'empreinte ci-dessus est le condensat sha384 d'un script d'une ligne, alert('Hello, world.');.