Outil · En-têtes HTTP
Les headers que le navigateur voit
On fait un GET, on lit la réponse. Pas de login, pas de JS exécuté chez vous. Si Cloudflare ou nginx oublie un en-tête, ça se voit tout de suite.
Pourquoi on regarde ça en premier
Le site peut « marcher » avec zéro en-tête de sécu. Les visiteurs ne s’en rendent pas compte. En revanche une iframe, un mauvais Content-Type ou l’absence de HSTS, ça se paie plus tard — souvent après un incident bête.
On note aussi Permissions-Policy et COOP. Moins parlants que CSP, mais utiles dès qu’il y a une appli, pas juste une page WordPress.
Ce qu’on note
- Strict-Transport-Security
- Présent ? max-age d’au moins 180 jours ? Sinon le navigateur n’impose pas le HTTPS après la première visite.
- Content-Security-Policy
- Sans CSP, n’importe quel script injecté a plus de place. On ne juge pas la politique au pixel près, on dit si elle existe.
- X-Content-Type-Options
- nosniff, sinon le navigateur devine le type et ça ouvre des surprises.
- Clickjacking
- X-Frame-Options ou CSP frame-ancestors. L’un des deux suffit.
- Referrer-Policy et Permissions-Policy
- Souvent oubliés. Le premier évite de fuiter des URL internes ; le second ferme caméra / micro par défaut.
Ce qu’on ne fait pas
On ne clique pas dans l’admin. On ne lance pas de linter CSP. Un score bas veut surtout dire : un reverse proxy nu, ou un CMS livré tel quel.
Les redirections http→https sont suivies, dans la limite de quelques sauts. Une URL interne (127.0.0.1, 10.x) est refusée.
En pratique
Mon site a un A+ ailleurs et ici c’est moyen. Qui a raison ?
- Les grilles ne sont pas les mêmes. Ici on est volontairement stricts sur HSTS (180 jours) et on ne note pas les en-têtes décoratifs. Comparez les lignes, pas le chiffre.
Je dois tout mettre à 100 ?
- Non. CORP est facultatif. COOP dépend du métier. HSTS + nosniff + une CSP même simple, c’est déjà le gros du chemin pour un site vitrine.
Ça casse le cache ou le SEO ?
- Non. Une requête GET, comme un navigateur. Votre robots.txt n’est pas concerné.
Dans la même veine
Le certificat et HSTS se recoupent : si les headers sont propres mais le cert expire dans huit jours, commencez par le renouvellement.