Que sont les en-têtes de sécurité HTTP ?
Quelques lignes qui changent le comportement des navigateurs
Les en-têtes de sécurité HTTP sont des instructions qu'un serveur web envoie avec chaque page. Ils disent au navigateur ce qu'il peut faire du contenu : quels scripts peuvent s'exécuter, si la page peut s'afficher dans un cadre, si une connexion peut retomber en HTTP simple. Ils ne coûtent rien, ne demandent le plus souvent aucun changement dans le code de l'application, et bloquent des familles entières d'attaques.
Comme ils se règlent dans la configuration du serveur ou du CDN, les en-têtes s'oublient facilement lors d'une migration ou d'une refonte. Une vérification après chaque déploiement repère la régression avant un attaquant.
Comment fonctionne ce vérificateur
Le vérificateur envoie une requête à l'adresse saisie, suit les redirections jusqu'à la page finale et lit les en-têtes de la réponse. Il recherche les six en-têtes que les navigateurs appliquent aujourd'hui et indique pour chacun s'il est présent ou manquant, avec la valeur envoyée par le site.
La note va de A à F. L'absence de Content-Security-Policy ou de HSTS pèse le plus, car ces deux en-têtes arrêtent les attaques les plus graves. Le contrôle est passif : il lit ce que reçoit le navigateur de n'importe quel visiteur et ne teste pas les failles du site.
Ce qu'un bon résultat ne prouve pas
Une note A signifie que les en-têtes sont en place, pas que le site est sûr. Une Content-Security-Policy peut être présente et rester trop permissive, et les en-têtes ne peuvent rien contre une injection SQL ou un fichier de sauvegarde exposé. Utilisez cet outil comme un premier contrôle rapide, puis lancez un scan complet pour tester le reste.