Security Headers Checker
Ce vérificateur gratuit d'en-têtes de sécurité demande votre URL et note six en-têtes de réponse sur 100 avec une lettre de A à F : Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy et Permissions-Policy. Chaque lacune s'accompagne d'une ligne prête à coller pour Nginx et Apache, afin que vous puissiez la corriger en quelques minutes.
Security Headers Checker
Technical SEO
À propos de cet outil
Les en-têtes de sécurité sont des instructions courtes que votre serveur envoie avec chaque page pour indiquer au navigateur comment se comporter strictement. Ils peuvent forcer HTTPS, empêcher vos pages d'être encadrées par d'autres sites, bloquer le navigateur de deviner les types de fichiers, limiter les scripts autorisés à s'exécuter et décider de la quantité de votre adresse partagée lorsqu'un visiteur clique sur un lien. La plupart ne coûtent qu'une ligne de configuration serveur.
Le vérificateur récupère la page et note six en-têtes : Strict-Transport-Security (20 points), Content-Security-Policy (25), X-Content-Type-Options (15), protection contre le clickjacking via X-Frame-Options ou frame-ancestors (15), Referrer-Policy (10) et Permissions-Policy (15). Une valeur faible rapporte la moitié des points. Le total donne la note : A à partir de 90, B à partir de 75, C à partir de 60, D à partir de 40, E à partir de 20 et F en dessous.
La note mesure quels en-têtes sont présents et pas manifestement faibles, non pas si votre site est sécurisé. Un site peut obtenir un A et avoir toujours du code vulnérable, et une Content-Security-Policy est vérifiée pour sa présence et ses faiblesses évidentes, non testée contre vos scripts. Ajoutez les en-têtes un par un et testez le site, en particulier la Content-Security-Policy, qui peut bloquer les scripts sur lesquels vous comptez.
Questions fréquentes
Qu'est-ce qu'une bonne note d'en-têtes de sécurité ?
A ou B est un résultat solide pour la plupart des sites. Une Content-Security-Policy est l'en-tête le plus difficile à ajouter en toute sécurité, donc de nombreux bons sites restent à B ou C jusqu'à ce qu'ils construisent une politique. Corrigez d'abord les rapides : HSTS, X-Content-Type-Options, une règle d'encadrement, Referrer-Policy et Permissions-Policy.
Les en-têtes de sécurité amélioreront-ils mon classement ?
Google ne classe pas les sites en fonction de leurs en-têtes. Ils protègent les visiteurs et votre marque, et HSTS peut économiser une redirection. Ils renforcent également la confiance avec les clients et partenaires soucieux de la sécurité. Traitez-les comme une hygiène de site qui va de pair avec HTTPS, non comme une tactique SEO.
Une Content-Security-Policy peut-elle casser mon site ?
Oui. Une politique stricte bloque tout script, style ou cadre qu'elle n'autorise pas, y compris l'analyse, les widgets de chat et le code publicitaire, donc une politique précipitée peut casser les fonctionnalités sur lesquelles les visiteurs comptent. Commencez par Content-Security-Policy-Report-Only, examinez ce qui serait bloqué, ajustez la politique, puis passez au mode d'application.
Où ajouter ces en-têtes ?
Dans la configuration du serveur web (Nginx add_header, Apache Header set), dans une règle CDN comme Cloudflare Transform Rules, ou dans le code de votre application. Sur un hébergement mutualisé, vous pouvez souvent les ajouter dans le fichier .htaccess. Les extraits de correction ci-dessous montrent les formes Nginx et Apache.