Les en-têtes de sécurité qui servent vraiment, et dans quel ordre les poser
Quatre en-têtes couvrent l'essentiel, un cinquième est laborieux et décisif. Ce que chacun empêche, avec le risque de le poser trop vite.
contient une mesure de notre moteur
Un en-tête de réponse est une consigne donnée au navigateur. Voici les cinq qui comptent.
1. Le chiffrement obligatoire
Il indique au navigateur de n’accéder à votre site qu’en HTTPS, pendant une durée déclarée.
Ce qu’il empêche : l’interception d’une première requête en clair.
Le risque : si vous le posez avec une longue durée et que votre certificat casse, les visiteurs ne peuvent plus accéder au site du tout, et ils ne peuvent pas passer outre. Commencez avec une durée courte, vérifiez, puis allongez.
2. Le refus de deviner le type de contenu
Il empêche le navigateur d’interpréter un fichier autrement que ce que vous déclarez.
Ce qu’il empêche : qu’un fichier envoyé par un visiteur soit exécuté comme du script.
Le risque : quasi nul. C’est l’en-tête le plus simple à poser, et il est absent presque partout.
3. Le contrôle de l’affichage dans un cadre
Il empêche votre site d’être affiché dans un cadre sur un autre site.
Ce qu’il empêche : un habillage trompeur qui capte les clics de vos visiteurs.
Le risque : si vous intégrez volontairement votre propre page ailleurs, il faut prévoir l’exception.
4. La politique de provenance
Elle limite ce que votre site transmet comme page d’origine quand un visiteur clique vers l’extérieur.
Ce qu’elle évite : de divulguer une adresse interne, avec ses paramètres, à un site tiers.
5. La politique de sécurité de contenu
La plus puissante et la plus laborieuse : elle déclare quels domaines peuvent fournir des scripts, des styles, des images.
Ce qu’elle empêche : l’exécution d’un script introduit à votre insu, y compris par un tiers compromis.
Le risque, et il est réel : une politique trop stricte casse votre site en silence. Déployez-la d’abord en mode observation, qui rapporte les violations sans rien bloquer, lisez les rapports pendant deux semaines, puis activez.
L’ordre que nous conseillons
Le 2, puis le 3, puis le 4, qui ne cassent rien. Ensuite le 1 avec une durée courte. Enfin le 5, en observation d’abord.
Notre propre note
Le socle technique pèse 8 % de notre note, le poids le plus faible des 6 piliers, parce qu’un site techniquement parfait avec une page vide n’est lu par personne.
Sur notre page d’accueil, auditée le 10 septembre 2026, ce pilier est à 90 sur cent. Nous n’avons donc pas tout posé, et nous le publions.