Vérificateur d’en-têtes de sécurité HTTP
HSTS, Content-Security-Policy, X-Frame-Options, nosniff, Referrer-Policy : vérifiez gratuitement les protections que votre site envoie aux navigateurs.
Analyse passive : nous lisons uniquement des informations publiques (DNS, page d'accueil, certificat). Aucun balayage de ports, aucune tentative d'intrusion. Un test actif exige une autorisation écrite (Code criminel, art. 342.1).
Valeurs recommandées
Un bon point de départ pour la plupart des sites de PME. Adaptez la CSP à vos scripts réels.
| En-tête | Valeur | Rôle |
|---|---|---|
| Strict-Transport-Security | max-age=31536000; includeSubDomains | Force HTTPS dans le navigateur. |
| Content-Security-Policy | default-src 'self'; frame-ancestors 'none' | Limite les scripts autorisés (XSS). |
| X-Frame-Options | DENY | Empêche l’intégration dans un cadre (clickjacking). |
| X-Content-Type-Options | nosniff | Empêche le navigateur de deviner le type de fichier. |
| Referrer-Policy | strict-origin-when-cross-origin | Évite de divulguer des URL internes. |
| Permissions-Policy | camera=(), microphone=(), geolocation=() | Désactive les fonctions inutiles. |
Et ensuite ?
Les en-têtes protègent contre des attaques courantes, mais ne remplacent pas un test de votre application : contrôle d’accès, sessions, injections. C’est ce que couvre un test d’intrusion Web.
Questions fréquentes
Qu’est-ce qu’un en-tête de sécurité HTTP ?+
Une instruction que votre serveur envoie au navigateur avec chaque page, par exemple « utilise toujours HTTPS » ou « n’exécute que les scripts de mon site ». Ils réduisent l’impact de nombreuses attaques sans changer le site.
Où ajouter ces en-têtes ?+
Dans la configuration du serveur Web, du CDN (Cloudflare, etc.) ou de l’hébergeur. Sur WordPress, une extension ou la configuration de l’hébergeur suffit souvent.
Une CSP peut-elle casser mon site ?+
Oui, si elle est trop stricte d’emblée. Commencez en mode Content-Security-Policy-Report-Only pour observer, puis appliquez-la.