Les en-têtes de sécurité HTTP expliqués (HSTS, CSP...)
Invisibles pour les visiteurs mais essentiels à la sécurité : les en-têtes de sécurité demandent à votre navigateur de refuser les connexions non sûres et de bloquer les scripts risqués.
Qu'est-ce que les en-têtes de sécurité HTTP ?
Chaque fois que vous ouvrez une page Web, le serveur renvoie la page et un ensemble d'instructions appelées en-têtes de réponse. Quelques-uns sont des en-têtes de sécurité : ils demandent à votre navigateur d'adopter un comportement plus sûr - refuser les connexions non sécurisées, bloquer les scripts risqués et empêcher d'autres sites de détourner la page. Invisibles pour les visiteurs, ils changent réellement le niveau de sécurité d'un site.
Les en-têtes qui comptent
- Strict-Transport-Security (HSTS). Force les navigateurs à utiliser HTTPS, pour que la connexion ne puisse pas être discrètement rétrogradée en non chiffrée.
- Content-Security-Policy (CSP). Contrôle ce qu'une page peut charger - la meilleure défense contre les scripts intersites (XSS), où un attaquant injecte du code malveillant.
- X-Content-Type-Options : nosniff. Empêche le navigateur de « deviner » le type d'un fichier et de l'exécuter comme quelque chose de dangereux.
- X-Frame-Options / frame-ancestors. Empêche d'autres sites d'intégrer la page dans un cadre caché pour vous tromper (détournement de clic).
- Referrer-Policy. Limite la quantité d'informations d'adresse divulguées lorsque vous suivez un lien hors du site.
- Permissions-Policy. Restreint les fonctions puissantes comme la caméra, le micro et la localisation.
Pourquoi cela vous concerne
Ce n'est pas vous qui définissez ces en-têtes, mais les propriétaires de sites. Ils sont toutefois un indice du sérieux d'un site en matière de sécurité. Une banque ou une boutique qui néglige les bases (surtout HSTS et CSP) mérite une petite réserve. Ce n'est pas un verdict de sûreté : un site peut avoir des en-têtes parfaits et être une arnaque, ou en manquer quelques-uns et être parfaitement légitime. Considérez-les comme un indice, pas le portrait complet.
Vérifiez les en-têtes d'un site
Notre vérificateur d'en-têtes de sécurité récupère un site, évalue les en-têtes ci-dessus de A+ à F et explique ce que fait chacun et ce qui manque - en langage clair. Si vous gérez un site, c'est un moyen rapide de repérer des gains faciles. Combinez-le avec le vérificateur SSL/TLS pour le volet chiffrement.