En-têtes de sécurité HTTP
Les gains de sécurité les plus faciles disponibles - des en-têtes serveur qui protègent contre XSS, clickjacking, MIME sniffing et SSL stripping. La plupart prennent moins d'une heure à configurer.
Ludwig Makhyan · Fondateur, WebsiteCoach
Aller à la section
Résumé pour la Direction
Les en-têtes de sécurité HTTP sont des directives au niveau serveur qui indiquent aux navigateurs comment gérer votre contenu en toute sécurité. Ce sont parmi les améliorations de sécurité les plus impactantes et les moins laborieuses - nécessitant généralement aucun changement de code, seulement une configuration serveur ou CDN. Les en-têtes manquants sont régulièrement cités dans le Top 10 des risques de sécurité des applications web d'OWASP.
Impact commercial
Une attaque XSS réussie (évitable avec CSP) peut entraîner le détournement de session, le vol d'identifiants et des violations de données clients. Sous le RGPD, une violation de données peut entraîner des amendes allant jusqu'à 4% du chiffre d'affaires annuel mondial. L'absence de HSTS rend votre site vulnérable au SSL stripping - une attaque de l'homme du milieu (MITM) qui intercepte les données sur des connexions non chiffrées.
Source : Analyse des en-têtes de réponse HTTP effectuée sur chaque audit WebsiteCoach.
En-têtes de sécurité expliqués
Cet en-tête est vérifié pour sa présence et sa qualité de configuration.
- Content-Security-Policy (CSP)
- Strict-Transport-Security (HSTS)
- X-Content-Type-Options
- X-Frame-Options
- Referrer-Policy
- Permissions-Policy
- Cross-Origin-Resource-Policy (CORP)
- Cross-Origin-Opener-Policy (COOP)
- Cross-Origin-Embedder-Policy (COEP)
Plan d'action par rôle
- →Approuver la mise en œuvre des en-têtes de sécurité dans le cadre de la posture de conformité
- →Comprendre que CSP et HSTS manquants sont des résultats courants dans les audits de sécurité et les tests d'intrusion
- →Inclure la conformité des en-têtes de sécurité dans les évaluations de sécurité des fournisseurs
- →Configurer tous les en-têtes de sécurité au niveau du proxy inverse ou CDN (nginx, Cloudflare, Vercel)
- →Activer le préchargement HSTS via hstspreload.org après confirmation de la couverture HTTPS complète
- →Ajouter le jeu de règles géré des en-têtes de sécurité de Cloudflare si vous utilisez Cloudflare
- →Rédiger une politique CSP en commençant par le mode 'report-only' pour éviter les régressions majeures
- →Utiliser Mozilla Observatory ou WebsiteCoach pour évaluer la complétude des en-têtes
- →Configurer un point de terminaison de signalement des violations CSP pour surveiller les ressources bloquées
- →Revoir et renforcer la Permissions-Policy pour n'autoriser que les API navigateur requises
- →Supprimer tous les blocs inline <script> et <style> - les remplacer par des fichiers externes (requis pour CSP strict)
- →Auditer tous les scripts tiers et ajouter leurs domaines à la liste d'autorisation CSP
- →Tester après le déploiement CSP en utilisant la console navigateur pour les erreurs de violation
Questions fréquentes
Qu’est-ce que En-têtes de sécurité HTTP ?
Les gains de sécurité les plus faciles disponibles - des en-têtes serveur qui protègent contre XSS, clickjacking, MIME sniffing et SSL stripping. La plupart prennent moins d'une heure à configurer.
Pourquoi En-têtes de sécurité HTTP est-il important ?
Une attaque XSS réussie (évitable avec CSP) peut entraîner le détournement de session, le vol d'identifiants et des violations de données clients. Sous le RGPD, une violation de données peut entraîner des amendes allant jusqu'à 4% du chiffre d'affaires annuel mondial. L'absence de HSTS rend votre site vulnérable au SSL stripping - une attaque de l'homme du milieu (MITM) qui intercepte les données sur des connexions non chiffrées.
Références officielles
Sujets connexes
Vérifiez votre score sécurité maintenant
Audit gratuit en 60 secondes - sans compte requis.
Audit gratuit