OVHCLOUD.COM: régression HSTS et XSS

Bonjour,

1) Si vous visitez ovhcloud.com vous recevez les entêtes HTTP suivantes
`x-frame-options: SAMEORIGIN`
`x-xss-protection: 1; mode=block`
Ceci laisse une trace dans votre navigateur, à l'avenir vous ne pourrez pas inclure ovhcloud.com dans une fenêtre iframe. C'est certainement une bonne idée pour éviter l'usurpation du site OVH.

2) Par la suite disons que vous voulez visiter l'adresse inexistante:
http://xxxxxxx.cluster028.hosting.ovh.net/

Ca renvoie vers une redirection "invisible OVH" vers le webmail OVH












Cliquez ici pour votre redirection




qui renvoie vers https://www.ovh.co.uk/mail/
qui à son tour renvoie vers https://www.ovhcloud.com/en-gb/mail/

et ovhcloud a déclaré qu'il était interdit de l'encapsuler dans un iframe.

Ca donne ce message d'erreur sous Firefox



Disons que le message "To protect your security" ... ça fait un peu tache, non ?

Quand l'adresse n'existe pas, pourquoi renvoyer vers le webmail ? Il ne serait pas inutile de remettre en question cette implémentation qui date d'une vingtaine d'années...