Ce site
Les contrôles ci-dessous tournent dans votre navigateur, maintenant, sur la page que vous lisez.
Aucun script ni style en ligne, aucune ressource tierce : tout vient du site lui-même.
default-src 'none'; script-src 'self'; style-src 'self'; img-src 'self'; font-src 'self'; connect-src 'self'; manifest-src 'self'; base-uri 'none'; form-action 'none'; frame-ancestors 'none'; object-src 'none'; upgrade-insecure-requests; require-trusted-types-for 'script'; trusted-types 'none'Le code n'écrit jamais de HTML brut dans la page : les injections DOM sont refusées par le navigateur.
require-trusted-types-for 'script'COOP, COEP et CORP isolent la page des autres onglets et sites.
same-origin · require-corp · same-originHSTS pendant deux ans, sous-domaines compris.
max-age=63072000; includeSubDomainsCaméra, micro, géolocalisation, paiement, USB : tout est refusé d'office.
Permissions-PolicyPas de cookie, pas d'analytics, pas de police chargée ailleurs.
0 requête tierceChaque fichier a son empreinte SHA-256 dans un manifeste, et les scripts portent un attribut integrity. Cela détecte une altération en transit ou dans un cache, pas un hébergeur compromis.
integrity.jsonUn security.txt selon la RFC 9116 indique comment me signaler une faille.
/.well-known/security.txtHTML, CSS et JavaScript sans framework ni dépendance, générés par un script Node. Le code a été écrit avec Claude Code, sous ma direction ; les contenus viennent de mes rendus et de mes notes de projet. Les polices sont servies par le site.
Navigation au clavier, lien d'évitement, contrastes vérifiés dans les deux thèmes, animations coupées si vous avez demandé moins de mouvement. Tout le contenu reste lisible sans JavaScript.