Analyse des en-têtes de sécurité
Les en-têtes de sécurité sont des instructions que votre serveur ajoute à chaque réponse HTTP pour dire au navigateur d’activer des protections qu’il n’applique pas par défaut : bloquer les scripts injectés, forcer HTTPS, refuser l’encadrement, arrêter le reniflage MIME. Saisissez une URL et cet outil récupère la réponse finale, note six en-têtes sur 100 points, affiche la valeur exacte trouvée pour chacun, explique le risque en une ligne et vous donne la configuration Nginx ou Apache à coller quand un en-tête manque ou est faible. Si vous ne voulez que la version rapide, le bilan de santé du site inclut déjà un sous-score d’en-têtes de sécurité dans son rapport global — cette page est l’analyse approfondie : des notes et des correctifs par en-tête, et rien d’autre.
Dernière mise à jour:
Vous voulez une surveillance continue ? Surveillez-le gratuitement avec myeventwatch — alertes d’expiration et de panne, sans carte.
L’analyse approfondie, à côté du score rapide du bilan de santé
Le bilan de santé du site répond à une question large — ce site est-il globalement en bonne santé ? — et plie les en-têtes de sécurité dans cette réponse comme un sous-score parmi d’autres. C’est la bonne forme pour un contrôle de routine, mais il ne peut pas vous dire quel en-tête a perdu les points, quelle valeur votre serveur a réellement envoyée, ni quoi coller dans votre configuration pour le corriger. Cette page existe pour le travail qui suit : une seule récupération, six en-têtes notés, une note en lettres et, pour chaque en-tête absent ou faible, les lignes Nginx et Apache exactes qui l’ajoutent ou le renforcent. Rien ici n’est une boîte noire — le tableau de notation complet est publié dans la section des faits ci-dessous, et c’est exactement le tableau par rapport auquel l’outil note.
Comment l’analyse fonctionne : l’outil demande l’URL que vous saisissez, suit les redirections et note les en-têtes de la réponse finale — la réponse à partir de laquelle un navigateur construirait réellement la page. C’est une simple récupération HTTP, pas un navigateur : aucun JavaScript ne s’exécute, aucune sous-ressource ne se charge, et les en-têtes qui n’apparaissent que sur d’autres chemins ou après connexion ne sont pas vus. Le score mesure une couche précise — si ces six protections destinées au navigateur sont présentes et fortes — et rien de plus. Un site peut obtenir 100 et porter quand même un bogue applicatif ; un site peut obtenir F sans avoir jamais été compromis. Traitez la note comme une liste de durcissement pondérée, pas comme un verdict sur la sécurité totale du site.
Corriger, par ordre d’impact
La plupart du score se regagne à peu de frais. X-Content-Type-Options, la protection contre les cadres et Referrer-Policy tiennent en une ligne chacun et ne cassent rien sur un site normal. Strict-Transport-Security tient aussi en une ligne, mais ne l’envoyez que lorsque chaque page et chaque sous-domaine fonctionne vraiment en HTTPS — un max-age d’un an est une promesse que les navigateurs vous tiendront de respecter. Permissions-Policy demande dix minutes de réflexion sur les fonctionnalités du navigateur que vos pages utilisent vraiment. Content-Security-Policy concentre le plus de points et le plus de risque : déployez-la d’abord sous la forme Content-Security-Policy-Report-Only, observez les rapports de violation, corrigez ce qui casse, et seulement ensuite appliquez-la. Le guide compagnon, les en-têtes de sécurité, expliqués, passe en revue ce que chaque en-tête arrête réellement et pourquoi l’ordre des correctifs est celui-ci.
Vérifications voisines : la sécurité du transport est l’autre moitié de cette histoire — le évaluateur SSL note la configuration TLS elle-même, tandis que cette page note ce que le serveur dit sur cette connexion. Pour le contrôle large et routinier qui inclut les en-têtes avec la disponibilité, le DNS et l’expiration des certificats, retournez au bilan de santé du site.
Une note sur la méthode : les résultats sont un instantané d’une récupération à un moment donné. Les CDN et les configurations à plusieurs serveurs peuvent répondre à des requêtes différentes avec des ensembles d’en-têtes différents, donc un résultat surprenant mérite une seconde vérification avant de changer la configuration — et une autre après le changement, car un en-tête ajouté à l’origine ne survit pas toujours au proxy placé devant lui.
Le tableau de notation publié
| Content-Security-Policy — 35 points | Bien signifie une politique appliquée (Report-Only ne compte pas) qui tient les scripts à l’écart de 'unsafe-inline' et 'unsafe-eval' et restreint d’où les ressources peuvent être chargées. Le poids le plus lourd, parce que CSP est la principale défense contre les scripts injectés. |
| Strict-Transport-Security — 20 points | Bien signifie un max-age d’au moins un an (31536000 secondes) envoyé en HTTPS ; includeSubDomains le renforce encore. Les max-age courts obtiennent des points partiels. |
| Protection contre les cadres — 15 points | Bien signifie la directive frame-ancestors de CSP ou un en-tête X-Frame-Options réglé sur DENY ou SAMEORIGIN, pour que d’autres sites ne puissent pas intégrer vos pages dans un cadre pour du clickjacking. |
| X-Content-Type-Options — 10 points | Bien signifie la seule valeur nosniff, pour que les navigateurs ne puissent pas transformer une réponse par reniflage MIME en un autre type exécutable. |
| Referrer-Policy — 10 points | Bien signifie une politique qui n’envoie jamais l’URL complète aux autres origines — strict-origin-when-cross-origin ou plus stricte (same-origin, no-referrer). |
| Permissions-Policy — 10 points | Bien signifie que l’en-tête est présent et désactive les fonctionnalités puissantes du navigateur que le site n’utilise pas, comme l’appareil photo, le microphone et la géolocalisation. |
| Cross-Origin-Opener-Policy — bonus | Signalé avec les en-têtes notés mais ne vaut aucun point : il isole vos pages des fenêtres d’autres origines et reste délibérément en dehors des 100, pour que les poids publiés soient exactement les six en-têtes ci-dessus. |
| Notes | 95 et plus vaut A+, 90+ vaut A, 80+ vaut B, 65+ vaut C, 50+ vaut D, 35+ vaut E, et moins de 35 vaut F. Les points sont attribués par en-tête selon la force de la valeur trouvée ; un en-tête absent marque zéro sur sa ligne. |
Questions fréquentes
Comment le score est-il calculé — est-ce une boîte noire ?
Non. Six en-têtes portent des poids fixes et publiés — CSP 35, HSTS 20, protection contre les cadres 15, X-Content-Type-Options 10, Referrer-Policy 10, Permissions-Policy 10 — pour un total de 100. Chaque en-tête gagne des points complets, partiels ou zéro selon la force de la valeur trouvée par l’outil, et la note en lettres suit les bandes du tableau des faits ci-dessus. Cross-Origin-Opener-Policy est signalé en bonus et n’affecte jamais le score.
Quelle différence avec le bilan de santé du site ?
Le bilan de santé du site est un contrôle large — disponibilité, DNS, TLS, expirations et davantage — dans lequel les en-têtes de sécurité apparaissent comme un sous-score rapide. Cette page ne note que les en-têtes, mais en profondeur : la valeur exacte trouvée pour chacun, verdict et points par en-tête, le risque en langage clair et des correctifs Nginx et Apache prêts à coller. Utilisez le bilan de santé pour repérer le problème, cette page pour le corriger.
Quelle réponse est notée — la mienne a des redirections ?
Ce sont les en-têtes de la réponse finale, après toutes les redirections, qui sont notés, parce que c’est la réponse à partir de laquelle le navigateur construit la page. Le résultat affiche l’URL et le statut finaux pour que vous voyiez où la chaîne a abouti. Une réserve : c’est une récupération statique, pas un navigateur — aucun JavaScript ne s’exécute —, donc les en-têtes qu’un framework n’ajoute que côté client, ou qui n’apparaissent qu’après connexion ou sur d’autres chemins, ne font pas partie de la note.
Mon site a obtenu un F. Cela veut-il dire qu’il a été piraté ?
Non. Un F signifie que la réponse finale transportait peu ou aucun des six en-têtes notés — l’état courant d’une installation de serveur ou de framework par défaut. Cela dit que les navigateurs de vos visiteurs ne reçoivent pas des protections qu’ils pourraient avoir ; cela ne dit rien sur le fait que le site lui-même ait été compromis. Travaillez les correctifs par ordre d’impact et revérifiez : la plupart des sites peuvent grimper de plusieurs notes en un après-midi.
Un score de 100 signifie-t-il que mon site est sûr ?
Non — cela signifie que ces six en-têtes sont présents et forts sur l’URL vérifiée. Les en-têtes sont une couche de durcissement : ils ne corrigent ni les bogues applicatifs, ni les mots de passe faibles, ni les logiciels obsolètes, ni une configuration TLS cassée. Associez cette vérification à l’évaluateur SSL pour le transport et au bilan de santé du site pour la vue d’ensemble.