Les headers de sécurité sont de courtes instructions envoyées par votre serveur avec chaque page. Ils demandent aux navigateurs de bloquer certains comportements risqués. Ils ne coûtent rien et s'ajoutent en quelques minutes. Pourtant, beaucoup de sites les oublient, ce qui facilite certaines attaques.
Les headers de sécurité les plus utiles
- Strict-Transport-Security force l'usage de HTTPS.
- Content-Security-Policy limite les sources de scripts et de styles.
- X-Frame-Options empêche d'autres sites d'encadrer vos pages.
- X-Content-Type-Options empêche le navigateur de deviner le type de fichier.
- Referrer-Policy contrôle les informations d'adresse transmises.
- Permissions-Policy désactive des fonctions comme la caméra quand elles sont inutiles.
Commencez par les plus simples
La plupart s'ajoutent sans modifier votre site. Ajoutez-les dans la configuration du serveur, via une extension ou par votre CDN. Commencez par HSTS, la protection contre l'encadrement et celle du type de contenu. Testez votre site après chaque changement.
La politique de contenu demande du soin
Cette directive est puissante mais peut casser des fonctions. Commencez en mode rapport pour voir ce qui serait bloqué. Ajoutez les sources de confiance pas à pas. Passez au blocage réel seulement quand les rapports sont propres.
Vérifiez votre score
Notre audit de site gratuit contrôle les directives envoyées par votre site. Il montre celles qui manquent et explique leur intérêt. Relancez-le après vos changements pour confirmer la correction.
Une partie d'un plan global
Ces directives ne remplacent ni les mises à jour, ni les mots de passe forts, ni les sauvegardes. C'est une couche parmi d'autres. Combinez-les avec un certificat valide et des analyses régulières. Notre service de sécurité de site vous aide à gérer ces couches ensemble.
Un gain rapide
Si vous ne faites qu'une chose cette semaine, ajoutez HSTS et la protection contre l'encadrement. Cela prend quelques minutes. Vos visiteurs sont mieux protégés et les outils d'audit affichent un meilleur score.
Exemple de configuration
Sur LiteSpeed ou Apache, les directives s'ajoutent dans le fichier .htaccess. Sur Nginx, elles vont dans le bloc server. Beaucoup d'extensions de sécurité WordPress les ajoutent pour vous. Choisissez une seule méthode pour éviter des valeurs envoyées deux fois.
