Somalie, Syrie, Afghanistan… Le Mali n’est le décalque d’aucun scénario jihadiste

L'article expose les en-têtes HTTP renvoyés par le serveur du journal *Libération* lors d'une requête, servant de preuve technique d'un blocage de contenu. En réponse à une demande d'accès à une ressource protégée, le serveur refuse la livraison du fichier, identifiée par le code de statut HTTP 403. La réponse utilise plusieurs couches de protection, combinant un DataDome anti-bot avec des mécanismes de type Content Security Policy (CSP) et un contrôle d'accès via les en-têtes CORS. Le blocage est activé par la présence d'un ad blocker détecté, confirmé par l'impossibilité pour le client de valider l'accept-ch nécessaire. La configuration précise l'utilisation de règles *accept-ch* incluant des indicateurs clés du navigateur comme `Sec-CH-UA`, `Sec-CH-UA-Mobile`, et `Sec-CH-UA-Platform`, essentielles pour la détection de l'environnement client. Le serveur expose limitativement certains de ces en-têtes via `access-control-expose-headers`, tout en maintenant une protection stricte du domaine via des cookies signés et persistants, dont la date d'expiration est fixée à l'année 2026. La gestion de la requête est orchestrée par un edge controller situé en amont, identifié comme tel par l'en-tête `x-arc-edgecontroller`. La stratégie repose sur l'association d'un jeton Datadome (`x-datadome`) et du refus explicite de la ressource, structurant ainsi une réponse destinée à bloquer les scripts automatisés ou les navigateurs modifiés, tout en conservant la capacité de journalisation et de suivi via des identifiants internes (`x-dd-b`, `x-arc-request-id`).