Vérificateur d’en-têtes de sécurité

Qu’est-ce que les en-têtes de sécurité HTTP ?

Les en-têtes de sécurité sont des en-têtes de réponse HTTP qui demandent au navigateur d’activer des protections intégrées : toujours utiliser HTTPS, refuser d’afficher la page dans un cadre (frame) malveillant, n’exécuter que les scripts provenant de sources de confiance, ne pas deviner le type des fichiers et limiter les informations transmises dans l’en-tête Referer. Ils ne coûtent rien à ajouter, ne nécessitent dans la plupart des cas aucune modification du code et neutralisent des familles entières d’attaques, comme le détournement de clic (clickjacking), les rétrogradations de protocole et de nombreuses charges de cross-site scripting (XSS).

Comment la note est calculée

Chacun des six en-têtes rapporte des points. Le total (de 0 à 100) correspond à une note : A+ à partir de 90, A à partir de 75, B à partir de 60, C à partir de 45, D à partir de 30, E à partir de 15, sinon F. Les sites non servis en HTTPS sont plafonnés à 20 points.

Nous signalons aussi les en-têtes qui divulguent des informations, comme Server: Apache/2.4.41 ou X-Powered-By: PHP/8.1. Les numéros de version précis aident les attaquants à trouver des vulnérabilités connues : supprimez-les ou raccourcissez-les.

Ajouter des en-têtes sur les plateformes courantes

Après une analyse, l’outil génère des extraits ne contenant que les en-têtes manquants : add_header … always; pour Nginx, Header always set pour Apache (.htaccess ou vhost), un fichier _headers pour Netlify et Cloudflare Pages, le tableau headers dans vercel.json, et un Worker Cloudflare ou une Transform Rule pour les sites derrière Cloudflare.

Webflow, Squarespace, Wix et les constructeurs de sites hébergés similaires ne permettent généralement pas de définir des en-têtes de réponse personnalisés avec les offres standard. La solution courante consiste à placer un reverse proxy devant le site : par exemple, faire passer le domaine par Cloudflare et ajouter les en-têtes avec une Transform Rule ou un Worker.

Déployer CSP et HSTS avec précaution

Une Content-Security-Policy stricte peut bloquer les outils d’analyse, les widgets de chat ou les scripts inline. Déployez-la d’abord en Content-Security-Policy-Report-Only, surveillez la console du navigateur pour repérer les violations, puis resserrez la politique avant de l’appliquer. HSTS est mis en cache par les navigateurs pendant toute la durée de max-age : commencez par une valeur courte (par exemple un jour) si certains sous-domaines doivent encore utiliser HTTP. Pour le reste de la réponse, inspectez chaque en-tête avec le Vérificateur d’en-têtes HTTP et vérifiez les certificats avec le Vérificateur SSL.

Aussi recherché comme : en-têtes de sécurité http, vérifier security headers, hsts checker, test csp, x-frame-options, content security policy, analyseur d’en-têtes http, securityheaders.

Outils complémentaires : Vérificateur d’en-têtes de sécurité

• Générateur & testeur CORS — Vous voyez « has been blocked by CORS policy » ?
• Vérificateur de redirections — Suivez une URL saut par saut pour voir chaque redirection, son code de statut et sa durée, et vérifiez que les versions http, https, www et sans www de votre domaine aboutissent toutes à une même adresse canonique.
• Analyse SEO et audit de site — Collez une URL pour effectuer jusqu’à 70 vérifications de référencement sur la page ainsi qu’un audit complet du site : vitesse Lighthouse, en-têtes de sécurité et SSL, données structurées, liens rompus, fichier robots.txt et robots d'exploration IA, principes de base de l'accessibilité, suivi et consentement, SPF/DKIM/DMARC et expiration du domaine — le tout regroupé en un score unique pour le site, accompagné de corrections classées par ordre de priorité.
• Test de vitesse de page — Lancez Google Lighthouse sur n’importe quelle URL, en version mobile ou desktop.