Content-Security-Policy : directive style-src-elem
Baseline
2025
Nouvellement disponible
Depuis December 2025, cette fonctionnalité fonctionne sur les appareils et les versions de navigateur les plus récents. Elle peut ne pas fonctionner sur les appareils ou navigateurs plus anciens.
La directive HTTP Content-Security-Policy (CSP) style-src-elem définit les sources valides pour les feuilles de styles embarquées avec les éléments HTML <style> et avec les éléments HTML <link> portant l'attribut rel="stylesheet".
Cette directive ne définit pas les sources valides pour les attributs de style embarqué ; celles-ci sont définies en utilisant style-src-attr (et les sources valides pour tous les styles peuvent être définies avec style-src).
| Version de CSP | 3 |
|---|---|
| Type de directive | Directive de récupération |
Solution de repli default-src |
Oui, si cette directive est absente, l'agent utilisateur consultera la directive style-src, qui a pour valeur par défaut celle de la directive default-src.
|
Syntaxe
Content-Security-Policy: style-src-elem 'none';
Content-Security-Policy: style-src-elem <source-expression-list>;
Cette directive peut avoir l'une des valeurs suivantes :
'none'-
Aucune ressource de ce type ne peut être chargée. Les guillemets simples sont obligatoires.
<source-expression-list>-
Une liste de valeurs d'expressions de source séparées par des espaces. Les ressources de ce type peuvent être chargées si elles correspondent à l'une des expressions de source données. Pour cette directive, les mêmes valeurs d'expression de source sont applicables que pour
style-src, à l'exception de'unsafe-hashes'.
style-src-elem peut être utilisé en conjonction avec style-src:
Content-Security-Policy: style-src <source>;
Content-Security-Policy: style-src-elem <source>;
Exemples
Cas de violation
Soit cet en-tête CSP :
Content-Security-Policy: style-src-elem https://exemple.com/
…les feuilles de style suivantes sont bloquées et ne seront pas chargées :
<link href="https://hors-exemple.com/styles/main.css" rel="stylesheet" />
<style>
#inline-style {
background: red;
}
</style>
<style>
@import "https://hors-exemple.com/styles/print.css" print;
</style>
…ainsi que les styles chargés en utilisant l'en-tête Link :
Link: <https://hors-exemple.com/styles/stylesheet.css>;rel=stylesheet
Spécifications
| Spécification |
|---|
| Content Security Policy Level 3 # directive-style-src-elem |
Compatibilité des navigateurs
Voir aussi
- L'en-tête
Content-Security-Policy - La directive CSP
style-src - La directive CSP
style-src-attr - L'en-tête
Link - L'élément HTML
<style>,<link> - La règle CSS
@import - La méthode API
CSSStyleSheet.insertRule() - La méthode API
CSSGroupingRule.insertRule() - La propriété API
CSSStyleDeclaration.cssText