MIME sniffing et X-Content-Type-Options : nosniff expliqué

Définissez X-Content-Type-Options : nosniff dans next.config.js pour qu'il s'applique à toutes les réponses, y compris les routes API et les routes de fichiers statiques.

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "X-Content-Type-Options", value: "nosniff" },
        ],
      },
    ];
  },
};

Ajoutez la directive dans votre bloc server pour qu'elle s'applique à toutes les réponses passant par nginx.

add_header X-Content-Type-Options "nosniff" always;

nosniff est plus efficace quand chaque réponse porte également un en-tête Content-Type correct. Pour les fichiers uploadés par les utilisateurs, servez-les avec un type approprié et depuis une origin ou un domaine de stockage séparé — pas la même origin que votre app — afin que même si un fichier s'exécute, il ne puisse pas accéder aux cookies de session de vos utilisateurs.

Les vérifications d'extension peuvent être contournées. Utilisez une bibliothèque comme file-type (npm) pour inspecter les magic bytes du fichier côté serveur et rejetez tout ce qui ne correspond pas à une liste de types sûrs autorisés.

import { fileTypeFromBuffer } from "file-type";

const ALLOWED = new Set(["image/jpeg", "image/png", "image/webp", "image/gif"]);

async function validateUpload(buffer: Buffer): Promise<void> {
  const type = await fileTypeFromBuffer(buffer);
  if (!type || !ALLOWED.has(type.mime)) {
    throw new Error("Upload rejected: unsupported file type");
  }
}