🛡️ Security Headers Demo

Nginx Ingress
sur OrbStack K8s

Cette app tourne dans un pod Kubernetes local via OrbStack. Les headers de sécurité sont injectés par l'Ingress Controller Nginx — pas par l'application elle-même.

OrbStack K8s

Nginx Ingress v1.8

Namespace: demo

ConfigMap HTML

// Security Headers actifs

X-Frame-Options

DENY

Empêche cette page d'être embarquée dans une <iframe> depuis n'importe quelle origine. Protection contre les attaques de clickjacking.

✓ actif

Content-Security-Policy

frame-ancestors 'none'

Directive CSP moderne équivalente à X-Frame-Options DENY. Bloque l'embedding dans tout contexte de framing (iframe, frame, object, embed). Préféré par les navigateurs modernes.

✓ actif

// Annotation Ingress

ingress.yaml YAML

# L'annotation clé qui active les headers custom
nginx.ingress.kubernetes.io/configuration-snippet: |
  add_header X-Frame-Options "DENY" always;
  add_header Content-Security-Policy
    "frame-ancestors 'none';" always;

// Vérification rapide

terminal bash

# Vérifier les headers de sécurité
curl -I http://demo.k8s.orb.local

# Résultat attendu :
X-Frame-Options: DENY
Content-Security-Policy: frame-ancestors 'none';