Vérifier les en-têtes de sécurité HTTP et corriger les six qui comptent

Les en-têtes de sécurité sont des instructions que votre serveur remet à chaque navigateur : « charge cette page uniquement en HTTPS », « ne m’intègre pas dans un cadre étranger », « n’exécute aucun script de domaines inconnus ». Ils ne coûtent rien, n’exigent aucun code dans la page et ferment des classes entières d’attaques. La plupart des sites n’en ont pourtant qu’un ou deux.

Vérifier

Saisissez l’URL dans le vérificateur d’en-têtes HTTP : il liste tous les en-têtes de réponse, explique chaque en-tête de sécurité et attribue une note de A à F. Dans le navigateur aussi : outils de développement → Réseau → document → en-têtes de réponse.

Les six qui comptent

Configurer les en-têtes de sécurité

Apache (.htaccess)

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set X-Content-Type-Options "nosniff"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

Nginx

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

WordPress sans accès serveur

add_action( 'send_headers', function () {
    header( 'X-Frame-Options: SAMEORIGIN' );
    header( 'X-Content-Type-Options: nosniff' );
    header( 'Referrer-Policy: strict-origin-when-cross-origin' );
} );

CSP : l’en-tête qui casse les sites

Une Content-Security-Policy trop stricte bloque Analytics, les polices et les widgets de paiement. D’où la méthode : d’abord Content-Security-Policy-Report-Only, une semaine à collecter les violations dans la console du navigateur, compléter les sources, puis activer. Pour WordPress avec Elementor et GTM, une politique avec des domaines explicites pour les scripts et les styles est réaliste ; unsafe-inline pour les styles est généralement inévitable.

Advertisement

Questions fréquentes

Les en-têtes de sécurité apportent-ils un gain SEO ?

Pas directement. HSTS et HTTPS sont toutefois indispensables au cadenas et à la confiance.

HSTS peut-il bloquer mon site ?

Si le HTTPS casse, oui : les navigateurs refusent alors le HTTP. Testez d’abord avec un max-age court (300), puis augmentez.

Une extension suffit-elle ?

Oui, si elle définit les six. Vérifiez quand même le résultat avec le vérificateur d’en-têtes ; les extensions de cache suppriment parfois des en-têtes.

Continuer la lecture

Plus de Outils développeur et code.

Formater du code HTML, CSS et JavaScript que vous n’avez pas écrit — et garder le vôtre cohérentOutils développeur et code

Aide-mémoire regex : chaque jeton expliqué, avec des exemples à copierOutils développeur et code

Minifier CSS et JavaScript : ce que ça économise, quand ça casse et comment le faire sans risqueOutils développeur et code