svg-hush

L'objectif de cet outil est de rendre des fichiers SVG arbitraires aussi bénins et sûrs à servir comme images que dans les autres formats de fichiers Web courants. Les fichiers SVG ne sont pas de simples images : ce sont des documents ayant un accès complet à toutes les fonctionnalités HTML et JavaScript. Cet outil filtre les fichiers SVG afin de supprimer l'utilisation de toute fonctionnalité potentiellement risquée.

• Supprime les scripts. Empêche l'utilisation de fichiers SVG pour des attaques de cross-site scripting. Bien que les navigateurs n'autorisent pas les scripts dans ``, ils autorisent le scripting lorsque les fichiers SVG sont ouverts directement en tant que document de premier niveau.

• Supprime les hyperliens vers des documents sur d'autres domaines. Rend les fichiers SVG moins attrayants pour le spam SEO et l'hameçonnage.

• Supprime les références à des ressources d'origine croisée. Empêche des tiers de suivre qui consulte l'image.

Cet outil supprime tout élément et attribut qui ne figure pas dans sa liste d'autorisation et filtre toutes les URL pour qu'elles soient uniquement de même origine (chemins sans nom d'hôte). Il peut casser certaines images SVG. Veuillez signaler un bug lorsque vous trouvez une image filtrée trop sévèrement !

Cet outil peut réduire la taille des fichiers SVG en supprimant les éléments inutiles, mais il n'est pas conçu pour être un optimiseur SVG. Il est sans danger de combiner svg-hush avec des outils d'optimisation SVG.

Assainissement vs CSP

Indépendamment de ce filtrage, il est préférable de servir les images SVG avec un Content-Security-Policy restrictif. Cet outil constitue une défense en profondeur pour les cas où l'en-tête CSP pourrait ne pas être pris en charge, être perdu ou être contourné (par exemple en raison d'une mauvaise configuration du serveur/CMS ou d'un ServiceWorker qui ne transmet pas les en-têtes).

Limitations connues

• Les anciens encodages de texte ne sont pas pris en charge. UTF-8, UTF-16 et latin1 sont pris en charge.
• Les DOCTYPE référençant des fichiers DTD externes ne sont pas autorisés. Le sous-ensemble interne est pris en charge.
• Le dialecte laxiste de syntaxe SVG-dans-HTML n'est pas pris en charge. Les documents SVG doivent être du XML bien formé et utiliser l'espace de noms SVG.