cybersécurité · serveur web

Générateur d’en-têtes de sécurité HTTP

Les en-têtes qui protègent un site contre le détournement de clics, le reniflage de type, les fuites d’URL et le téléchargement non chiffré. Cochez, copiez la configuration de votre serveur.

HSTS (Strict-Transport-Security)Oblige le navigateur à n’utiliser que HTTPS pendant un an.

X-Content-Type-Options: nosniffEmpêche le navigateur de deviner le type d’un fichier.

Affichage dans un cadre (X-Frame-Options)

Referrer-Policy

Permissions-PolicyCoupe caméra, micro, géolocalisation, paiement et USB pour les pages qui n’en ont pas besoin.Cross-Origin-Opener-Policy: same-originIsole la fenêtre des pages ouvertes depuis un autre site. Peut gêner les connexions par fenêtre surgissante (OAuth).Content-Security-PolicyLa protection la plus forte contre l’injection de scripts, mais à adapter à chaque site.

# Dans le bloc server { … } (HTTPS)
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=()" always;

Attention : un add_header placé dans un bloc location remplace tous ceux du bloc server. Rechargez ensuite avec nginx -t puis systemctl reload nginx.

Pour vérifier le résultat sur votre site, notre outil open source frontdoor contrôle les en-têtes, le TLS et les redirections.

Questions fréquentes

Quels en-têtes de sécurité ajouter en priorité ?

HSTS (pour imposer HTTPS), X-Content-Type-Options: nosniff, X-Frame-Options ou frame-ancestors (contre le détournement de clics) et Referrer-Policy. Ils se posent sans risque sur presque tous les sites. La CSP protège le plus mais demande des réglages propres à chaque site.

Pourquoi tester la CSP en mode Report-Only ?

Une CSP trop stricte bloque des scripts, polices ou images légitimes et casse le site. En Report-Only, le navigateur signale les violations dans la console sans rien bloquer : on ajuste, puis on passe en mode réel.

Que veut dire « always » dans la configuration nginx ?

Sans « always », nginx n’ajoute l’en-tête qu’aux réponses réussies. Avec, il l’ajoute aussi aux pages d’erreur, qui doivent être protégées de la même façon.

Comment vérifier que les en-têtes sont bien envoyés ?

Ouvrez les outils de développement du navigateur, onglet Réseau, et regardez les en-têtes de réponse de la page. La commande curl -I https://votre-site.fr les affiche aussi.

Cet outil vous a été utile ?

Imaginez ce qu'on peut faire pour votre entreprise avec des solutions sur-mesure. Recevez un audit gratuit et des recommandations personnalisées.

100% gratuit · Zero engagement · Reponse sous 24h

Cybersécurité & RGPD

Voir les 61 outils

Générateur d’en-têtes de sécurité HTTP

Questions fréquentes

Cet outil vous a été utile ?

Outils similaires