Chaque en-tête de sécurité reçoit une réussite, un avertissement ou un échec, avec la ligne exacte à ajouter. Contrôlez les en-têtes que votre site web envoie, ou collez ceux que vous avez déjà, et voyez à quel point votre site est protégé. C'est gratuit et sans compte.
Comment vérifier vos en-têtes
- Dans l'onglet Vérifier une URL, saisissez votre site dans Adresse web et appuyez sur Vérifier les en-têtes.
- Ou ouvrez l'onglet Coller les en-têtes, collez les En-têtes de réponse, et appuyez sur Noter ces en-têtes.
- Lisez la note, puis passez en revue chaque ligne. Chaque problème s'accompagne de la ligne à ajouter.
Ce qui est envoyé
Les navigateurs ne peuvent pas lire les en-têtes d'un autre site : quand vous utilisez Vérifier une URL, l'adresse que vous saisissez est donc récupérée par le serveur de Snowkit. Il suit jusqu'à 5 redirections, abandonne après 8 secondes, refuse les adresses privées et de réseau local, et ne conserve pas ce que vous contrôlez. Les en-têtes collés sont notés dans votre navigateur et ne sont envoyés nulle part.
Les en-têtes les plus importants
Strict-Transport-Security fait utiliser HTTPS à chaque visite de votre site. Content-Security-Policy liste d'où peuvent venir les scripts, styles et frames, pour qu'un code injecté ait du mal à s'exécuter. X-Frame-Options ou le frame-ancestors de la CSP empêche d'autres sites de charger le vôtre dans une frame cachée. X-Content-Type-Options: nosniff empêche les navigateurs de deviner les types de fichiers, et Referrer-Policy et Permissions-Policy limitent ce qui fuit vers d'autres sites et les fonctions du navigateur que les pages peuvent utiliser.
Comment fonctionne la note
Chaque contrôle commence comme une réussite. HTTPS, HSTS et CSP comptent le plus ; la protection contre les frames, nosniff et les indicateurs de cookies comptent ensuite ; les politiques de référent et de permissions et les numéros de version dans les en-têtes comptent le moins. Un avertissement coûte moitié moins qu'un échec. La note est un résumé rapide : lisez donc chaque ligne : une CSP stricte avec une courte durée HSTS peut quand même être un site très bien protégé.
Où définir les en-têtes
Sur Cloudflare Pages et Netlify, ajoutez-les à un fichier _headers. Sur Vercel, utilisez la section headers de vercel.json. Avec nginx, utilisez add_header, avec Apache Header always set, et dans les frameworks Node un petit middleware fonctionne. Définissez-les sur chaque réponse HTML, pas seulement la page d'accueil.
Conseils
- Ajoutez un en-tête à la fois et testez votre site après chacun, car une Content-Security-Policy stricte peut bloquer des choses qui fonctionnaient.
- Commencez par les gains faciles : nosniff, une politique de référent et la protection contre les frames.
- Vérifiez à nouveau après avoir changé d'hébergeur ou ajouté un nouveau service.
- Regardez aussi la configuration DNS et e-mail avec la recherche DNS.
Qui l'utilise
Propriétaires de sites web et de petites entreprises, freelances qui remettent un site, et développeurs qui examinent la sécurité avant un lancement. Pour transformer une requête en code, voir le convertisseur cURL.
Questions
Une bonne note signifie-t-elle que mon site est sécurisé ?
Non. Les en-têtes sont une couche de protection. Ils ne remplacent ni les mises à jour, ni les mots de passe robustes, ni un code soigné.
Pourquoi ne puis-je pas vérifier une adresse locale ?
Les adresses privées et de réseau local sont refusées. Collez plutôt les en-têtes pour les évaluer dans votre navigateur.
Conserve-t-il l'adresse de mon site ?
Non. Ce que vous vérifiez n'est pas conservé.