Test des en-têtes de sécurité

Vérifiez vos en-têtes de sécurité, puis corrigez-les en quelques minutes.

Les en-têtes de sécurité indiquent aux navigateurs comment protéger vos visiteurs contre les scripts injectés, le clickjacking et les fuites de données. Voyez ceux qui vous manquent, avec des lignes à coller dans votre serveur ou votre CDN.

Analyse passive. Rien n’est attaqué sans votre autorisation.

Les en-têtes que nous vérifions

  • Strict-Transport-Security (HSTS) : présent, et assez long pour être utile.
  • Content-Security-Policy : la principale défense contre les scripts injectés et les skimmers de cartes.
  • X-Frame-Options (ou frame-ancestors de CSP) : empêche d’autres sites d’encadrer le vôtre pour du clickjacking.
  • X-Content-Type-Options : nosniff.
  • Referrer-Policy et Permissions-Policy.
  • Attributs des cookies (Secure, HttpOnly, SameSite) et en-têtes qui révèlent les versions du serveur.

Un socle de départ sûr

Ces en-têtes conviennent à presque tous les sites. Commencez par eux, puis ajoutez une Content-Security-Policy en mode rapport seul.

nginx
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Les versions pour Apache, Cloudflare et WordPress figurent dans le guide des en-têtes de sécurité.

Plus qu’une lettre

Une note d’en-têtes seule ne vous dit pas quoi faire ensuite. HackGrade replace les en-têtes dans leur contexte avec HTTPS, les versions des logiciels, WordPress et l’e-mail, pour que vous corrigiez d’abord le plus risqué.

Questions fréquentes

Quels en-têtes de sécurité comptent le plus ?

Pour la plupart des petits sites : d’abord HTTPS avec HSTS, puis X-Content-Type-Options, une politique d’encadrement et Referrer-Policy (tous peu risqués), puis une Content-Security-Policy, qui demande quelques tests.

Les en-têtes de sécurité peuvent-ils casser mon site ?

Les en-têtes de base le font rarement. Une Content-Security-Policy stricte peut bloquer des scripts dont vous avez besoin : c’est pourquoi nous recommandons de commencer par Content-Security-Policy-Report-Only.

X-XSS-Protection est-il encore nécessaire ?

Non. Les navigateurs modernes ont supprimé le filtre XSS qu’il contrôlait. MDN recommande plutôt une Content-Security-Policy ; nous ne pénalisons donc pas l’absence de l’en-tête X-XSS-Protection.

Guides avec correctifs à copier-coller

Guide

En-têtes de sécurité

En-têtes de sécurité HTTP à copier-coller pour nginx, Apache (.htaccess), Cloudflare et WordPress : HSTS, X-Content-Type-Options, protection contre l’encadrement, Referrer-Policy et Permissions-Policy.

Guide

Content-Security-Policy

Déployez une Content-Security-Policy sans casser votre site : commencez en mode rapport seul, construisez une liste d’autorisations, puis appliquez-la. Exemples pour nginx, Apache et WordPress.

Guide

HSTS

Ce que fait HSTS, pourquoi commencer par un max-age court, quand utiliser includeSubDomains et preload, avec des lignes à copier-coller pour nginx, Apache et Cloudflare.

Guide

Attributs de sécurité des cookies

À quoi servent les attributs de cookie Secure, HttpOnly et SameSite, et comment les définir dans PHP, WordPress, nginx et Apache sans casser les cookies dont vos scripts ont besoin.

Guide

Masquer les versions du serveur et de PHP

Arrêtez d’afficher les versions de vos logiciels : server_tokens dans nginx, ServerTokens dans Apache, expose_php dans PHP et la balise generator de WordPress, et pourquoi mettre à jour compte plus que masquer.

Autres tests gratuits

Gratuit · Immédiat · Sans inscription

Découvrez votre note avant quelqu’un d’autre.

Analyse passive. Rien n’est attaqué sans votre autorisation.

Gratuit pour commencer. Offres payantes dès 12 $ par mois, ou un rapport unique à 29 $. Voir les tarifs