Test des En-têtes de Sécurité HTTP (A à F)

Indirectement. HTTPS est un signal de classement, et HSTS garantit qu'il est utilisé. Un site compromis par XSS ou clickjacking peut être signalé comme dangereux par Google Safe Browsing, ce qui fait chuter le trafic. Enfin, ces en-têtes font partie des audits de confiance (E-E-A-T) menés par les agences et les acheteurs.

Il indique au navigateur de n'utiliser que HTTPS pour ce domaine pendant une durée donnée. Sans lui, la première requête d'un visiteur peut partir en HTTP et être interceptée. Une durée d'un an (max-age=31536000) avec includeSubDomains est le standard.

Commencez en mode Content-Security-Policy-Report-Only avec un report-uri ou report-to : le navigateur signale les violations sans rien bloquer. Ajustez la politique jusqu'à l'absence de rapports, puis passez à Content-Security-Policy. Remplacez 'unsafe-inline' par des nonces ou des hashes.

Les deux protègent du clickjacking. frame-ancestors (dans la CSP) est le standard actuel et permet d'autoriser des domaines précis ; X-Frame-Options reste utile pour les anciens navigateurs. Les déclarer tous les deux est correct.

Ils révèlent le logiciel et sa version (nginx/1.18, PHP/8.1…), ce qui facilite la recherche de failles connues. Les masquer ne corrige rien mais réduit l'exposition.

Non, à la page testée. Les en-têtes sont souvent définis globalement, mais un CDN, un sous-dossier ou une application peuvent les modifier. Testez les pages types : accueil, connexion, API, pages servies par un autre service.