Vérifier les en-têtes de sécurité
Collez l'adresse d'une page. Nous lisons ses en-têtes HTTP, vérifions les neuf protections qui comptent, et donnons une note que vous pouvez refaire à la main.
Comment la note est calculée
La note est une somme, pas une estimation. Chaque contrôle vaut un nombre de points fixe ; un contrôle réussi les donne tous, un contrôle partiel la moitié (arrondie à l'entier inférieur : 7 sur 15), un contrôle absent aucun. Avec les en-têtes affichés plus haut, vous retrouvez le même total à la main.
| Contrôle | Points | Pourquoi ce poids |
|---|---|---|
| HTTPS | 20 | sans lui, aucune autre protection ne tient |
| Content-Security-Policy | 20 | la seule qui limite les dégâts d'une faille XSS |
| Strict-Transport-Security | 15 | empêche de ramener le visiteur en http:// |
| Protection contre l'intégration | 10 | empêche de cacher votre page dans un cadre pour faire cliquer à l'insu du visiteur |
| X-Content-Type-Options | 10 | empêche le navigateur de deviner le type d'un fichier |
| Referrer-Policy | 10 | limite ce que vos adresses révèlent aux autres sites |
| Permissions-Policy | 5 | coupe l'accès à la caméra, au micro ou à la position |
| Cookies Secure et SameSite | 5 | empêche qu'un cookie voyage en clair ou serve à une requête forgée |
| Version du serveur cachée | 5 | n'ouvre aucune faille, mais aide à en chercher une |
La lettre suit le total : A+ à 100, A à partir de 90, B de 75, C de 60, D de 45, E de 30, F en dessous.
Par où commencer
Les en-têtes d'une ligne (X-Content-Type-Options, Referrer-Policy, X-Frame-Options) se posent en quelques minutes dans la configuration du serveur ou de l'hébergeur, sans risque pour le site. HSTS aussi, à condition que tout le site soit déjà servi en HTTPS. La CSP demande plus de soin : une politique trop stricte casse les scripts tiers. Commencez-la en mode rapport, regardez ce qu'elle aurait bloqué, puis activez-la.
Ce que cet outil ne fait pas
- Il ne teste aucune faille : il lit les en-têtes que le serveur envoie à tout le monde, et rien d'autre.
- Il ne juge qu'une page. Un site peut envoyer des en-têtes différents selon les pages, en particulier entre l'accueil et l'espace client.
- Il ne dit pas si la CSP est bien réglée pour votre site : il vérifie qu'elle existe et qu'elle protège des scripts, pas qu'elle laisse passer ceux dont vous avez besoin.
Questions fréquentes
Une mauvaise note pénalise-t-elle mon référencement ?
Pas directement : seul HTTPS est un signal de classement, et il compte peu. Les autres en-têtes protègent vos visiteurs, pas votre position. Mais un site piraté, lui, est retiré des résultats ou marqué dangereux, et ces en-têtes sont une partie de ce qui l'en protège.
Comment ajouter ces en-têtes ?
Dans la configuration du serveur (Apache, Nginx), dans le tableau de bord d'un service comme Cloudflare, ou par une extension sur WordPress. Chez la plupart des hébergeurs mutualisés, un fichier .htaccess suffit pour les en-têtes simples.
Pourquoi la page ne montre-t-elle pas la valeur des cookies ?
Parce que ces cookies ont été déposés pour notre visite et qu'ils ne vous apprendraient rien. Seuls leur nom et leurs attributs (Secure, HttpOnly, SameSite) comptent pour la sécurité, et ce sont les seuls que nous gardons.
Pour aller plus loin
HTTPS et référencement : ce que ça change vraiment Passer en HTTPS change quatre choses concrètes. Le classement est la plus petite des quatre, et c'est celle dont tout le monde parle.Les autres outils
Vérifier un certificat SSL
Date d'expiration du certificat, émetteur, et noms réellement couverts.
Vérifier SPF, DKIM et DMARC
SPF, DKIM et DMARC lus et jugés, la chaîne des dix recherches SPF comprise, avec les exigences de Gmail et Yahoo.
Ma page peut-elle être indexée ?
Noindex, robots.txt, canonical, code HTTP : ce qui empêche Google et Bing d'indexer une page, moteur par moteur.
Être prévenu avant que le certificat lâche
Expansel vérifie le certificat HTTPS de vos sites à chaque passage, et vous prévient avant l'échéance, pas le jour où le navigateur affiche un avertissement rouge à vos visiteurs.