En-têtes de sécurité HTTP : les cinq lignes qui protègent votre site
Votre serveur envoie des instructions au navigateur avant même d'afficher la première image. Ces instructions s'appellent des en-têtes. Cinq d'entre elles bloquent des attaques courantes, se posent en une heure, et ne coûtent rien. La plupart des sites français n'en ont aucune.
Le principe
Une consigne envoyée avant la page
Un visiteur ouvre votre site. Le serveur répond d'abord par un petit bloc d'instructions, invisible à l'écran. Le navigateur les applique ensuite pour toute la visite.
Un en-tête de sécurité dit par exemple : « n'accepte aucun script venu d'ailleurs ». Ou encore : « n'affiche jamais ce site dans un cadre ». Le navigateur obéit, systématiquement.
L'avantage tient en une phrase. Les en-têtes de sécurité s'ajoutent à la configuration du serveur, sans toucher une seule ligne de votre site.
Les cinq
Les cinq en-têtes de sécurité, et ce qu'ils empêchent
Strict-Transport-Security
Force le navigateur à n'utiliser que la version chiffrée du site. Y compris si le visiteur tape l'adresse sans le « s ». Ferme ainsi la porte à l'interception sur un réseau public.
X-Content-Type-Options
Interdit au navigateur de deviner le type d'un fichier. Un document déposé par un visiteur ne pourra plus être interprété comme du code exécutable.
X-Frame-Options
Empêche l'affichage de votre site dans un cadre sur un autre domaine. C'est la parade classique contre le détournement de clic.
Content-Security-Policy
La plus puissante, et la plus délicate. Elle liste les sources autorisées pour les scripts, les styles et les images. Un script injecté depuis un domaine inconnu ne s'exécute plus.
Referrer-Policy
Contrôle ce que votre site révèle en partant vers un autre. Sans elle, l'adresse complète de la page quittée est transmise, paramètres compris.
Une sixième mérite d'être citée : la politique des permissions. Elle coupe l'accès à la caméra, au micro et à la géolocalisation pour les contenus tiers.
Récapitulatif
Effort, risque et bénéfice
| En-tête | Attaque évitée | Temps de pose | Risque de casse |
|---|---|---|---|
| Strict-Transport-Security | Interception sur réseau ouvert | 10 minutes | Faible |
| X-Content-Type-Options | Fichier interprété comme du code | 5 minutes | Nul |
| X-Frame-Options | Détournement de clic | 5 minutes | Faible |
| Referrer-Policy | Fuite d'adresses internes | 5 minutes | Nul |
| Content-Security-Policy | Injection de script | Une demi-journée | Réel |
Quatre en-têtes sur cinq se posent en moins d'une demi-heure au total. Seule la dernière demande des essais.
Méthode
Poser vos en-têtes de sécurité sans casser le site
Mesurer l'existant
Un contrôle en ligne liste les en-têtes déjà envoyés par votre serveur. La plupart des sites repartent de zéro, ce qui simplifie la suite.
Poser les quatre simples
Elles s'ajoutent dans la configuration du serveur, ou via votre service de diffusion de contenu. Aucune modification du site n'est nécessaire.
Tester la cinquième en observation
La politique de contenu s'active d'abord en mode rapport. Elle signale ce qu'elle bloquerait, sans rien bloquer. On corrige, puis on l'applique vraiment.
Cette troisième étape évite l'accident classique. Une politique trop stricte coupe le module de paiement, ou la carte interactive.
Le piège
Deux erreurs qui rendent vos en-têtes de sécurité inutiles
Poser l'en-tête deux fois
Votre serveur envoie une valeur, votre service de diffusion en ajoute une autre. Les navigateurs réagissent alors de façon imprévisible, et la protection saute.
Copier une politique trouvée en ligne
Une politique de contenu recopiée depuis un forum autorise généralement tout, ou casse tout. Dans les deux cas, elle ne protège de rien.
Et le référencement ?
Un effet indirect, mais réel
Aucun de ces en-têtes ne fait monter une page dans les résultats. Le lien passe par ailleurs.
- → Un site propre reste indexé. Une injection de script transforme vos pages en spam, et Google les déclasse en quelques jours.
- → Le chiffrement forcé évite les doublons. Deux versions accessibles d'une même page divisent le signal envoyé au moteur.
- → Une alerte de sécurité vide un site. L'avertissement rouge du navigateur coûte immédiatement l'essentiel du trafic.
Autrement dit, les en-têtes de sécurité protègent le référencement que vous avez déjà construit.
Questions fréquentes
Ce qu'on me demande avant d'y toucher
Faut-il un développeur pour les poser ?
Pour les quatre simples, non. Elles s'ajoutent dans un fichier de configuration ou dans l'interface de votre hébergeur. Pour la politique de contenu, oui : quelqu'un doit inventorier vos scripts tiers et suivre le mode rapport.
Mon site est derrière un service de diffusion, dois-je quand même agir ?
Oui. Beaucoup de ces services proposent d'ajouter les en-têtes en quelques clics, mais rien n'est actif par défaut. Vérifiez la réponse réelle plutôt que la promesse de l'interface.
Le chiffrement forcé peut-il rendre mon site inaccessible ?
Il l'empêche d'être servi sans chiffrement, pour une durée que vous fixez. Commencez par une durée courte, vérifiez que tout fonctionne, puis allongez-la. C'est la seule précaution nécessaire.
Est-ce lié à la conformité réglementaire ?
Indirectement. Le RGPD impose des mesures de sécurité appropriées, sans les énumérer. Ces en-têtes constituent des mesures reconnues, faciles à démontrer en cas de contrôle. Notre guide RGPD détaille l'obligation générale.
Regardez ce que votre serveur envoie
Notre outil relève les en-têtes de sécurité présents et ceux qui manquent. Il le fait en même temps que le contrôle de conformité. Aucune installation, aucune inscription, résultat immédiat.
Références techniques
- Documentation des en-têtes HTTP — la référence des développeurs, en français.
- Agence nationale de la sécurité des systèmes d'information — les recommandations officielles de sécurisation.
Un projet de site internet ?
Site vitrine dès 890 €, boutique en ligne dès 1 490 €, refonte dès 690 €. Devis gratuit sous 24 heures ouvrées, et vous restez propriétaire du site.
5,0 sur 5 · 62 avis Google
