Guide · En-têtes
En-têtes de sécurité : lesquels comptent vraiment ?
Six en-têtes utiles, ce que chacun empêche réellement, et pourquoi leur absence n’est pas la même chose qu’une faille.
Réponse courte
Quels en-têtes de sécurité faut-il vraiment mettre en place ?
Six comptent en pratique : HSTS, une politique de contenu, nosniff, Referrer-Policy, Permissions-Policy et une protection contre l’encadrement. La bonne priorité dépend du site : une politique de contenu couvre un champ large, mais demande un inventaire et un déploiement progressif.
Un en-tête absent n’est pas une faille. C’est une protection que le navigateur sait appliquer et qu’on ne lui a pas demandé d’appliquer. La différence compte : elle change la priorité que vous donnez au correctif.
Ce qu’est un en-tête de sécurité
Quand un navigateur demande une page, le serveur renvoie le contenu et, avant lui, une série de consignes invisibles. Certaines disent au navigateur ce qu’il a le droit de faire avec la page.
Ces consignes n’exigent pas de logiciel dans le navigateur et leur poids réseau est faible. Le vrai coût est la configuration, l’inventaire des usages légitimes et la vérification sur le site réel.
| En-tête | Ce qu’il empêche | Difficulté |
|---|---|---|
| Politique de contenu | Le chargement de scripts et de ressources non prévus | Réelle : demande une mise au point |
| HSTS | Une requête HTTP quand le navigateur connaît déjà la règle | Faible, mais difficile à annuler un temps |
| Protection contre l’encadrement | Votre site affiché dans un cadre étranger | Faible |
| nosniff | Le navigateur devine le type d’un fichier | Faible |
| Referrer-Policy | Des informations d’adresse transmises aux sites tiers | Faible |
| Permissions-Policy | L’accès à la caméra, au micro, à la position | Faible |
À retenir
nosniff, Referrer-Policy et la protection contre l’encadrement sont généralement simples à poser. Vérifiez tout de même les types MIME servis, les besoins de mesure et les intégrations légitimes dans un cadre.
La politique de contenu, la plus utile et la plus exigeante
Elle répond à une question précise : quelles ressources cette page a-t-elle le droit de charger ? Scripts, styles, images, polices, connexions sortantes.
Son intérêt vient de là. Si quelqu’un parvient à injecter un script dans votre page, par un commentaire, un champ de formulaire ou une extension compromise, une politique bien posée peut l’empêcher de s’exécuter lorsqu’aucune source autorisée ne le couvre. Elle réduit l’impact de certaines injections ; elle ne corrige pas la faille qui a permis l’injection.
C’est aussi la plus difficile à poser, parce qu’elle peut casser des choses qui fonctionnaient. D’où la méthode.
-
Commencer en mode rapport
La politique est envoyée mais rien n’est bloqué. Le navigateur signale seulement ce qu’elle aurait empêché.
-
Relever ce qui remonte
Pendant quelques jours, sur un trafic réel. Vous découvrirez des services que vous aviez oubliés.
-
Élargir ce qui est légitime
Votre outil de mesure, vos polices, votre système de réservation. Un par un, pas par un joker.
-
Basculer en application
Quand les signalements se sont taris. Gardez le mode rapport en parallèle un moment.
Attention
Une politique posée directement en application sur un site en production peut faire disparaître des fonctions visibles sans message d’erreur pour le visiteur. Le mode rapport existe précisément pour éviter cela.
Détail technique
La difficulté principale sur WordPress vient du JavaScript en ligne, que beaucoup de thèmes et d’extensions produisent. Autoriser unsafe-inline pour les scripts fait passer la politique, et lui retire une bonne partie de son intérêt.
Selon l’application, la solution consiste à déplacer le code vers des fichiers autorisés ou à utiliser des nonces ou des condensats. C’est un travail réel, à planifier, et c’est ce qui distingue une politique cosmétique d’une politique utile.
HSTS, à poser une fois le HTTPS certain
HSTS dit au navigateur : pour ce domaine, n’utilise que HTTPS, et ce pendant une durée donnée. Le navigateur retient la consigne et n’essaiera même plus le HTTP.
Cela ferme une fenêtre étroite mais réelle pour un navigateur qui connaît déjà la règle. La toute première visite reste exposée tant que le domaine n’est pas préchargé ou que le navigateur n’a pas reçu HSTS par HTTPS.
Attention
HSTS est la seule de ces consignes qui soit difficile à annuler. Un navigateur qui a retenu la consigne refusera le HTTP pendant toute la durée annoncée, même si vous changez d’avis.
Ne la posez qu’après avoir vérifié que tout le site, sous-domaines compris si vous les incluez, répond correctement en HTTPS. Commencez par une durée courte, puis allongez-la.
Les trois discrets
Ils demandent moins de mise au point qu’une politique de contenu, mais leurs valeurs doivent correspondre aux fonctions réelles du site.
nosniff empêche le navigateur de deviner le type d’un fichier au lieu de croire ce que le serveur annonce. Sans lui, un fichier déposé par un formulaire d’envoi peut être interprété autrement que prévu.
Referrer-Policy limite ce que votre site raconte aux sites tiers. Sans elle, l’adresse complète de la page que votre visiteur quittait, paramètres compris, part avec lui.
Permissions-Policy limite les fonctions du navigateur dont votre site n’a pas besoin : caméra, micro, position, capteurs. Il faut conserver celles qu’une intégration légitime utilise réellement.
Empêcher l’encadrement
Sans cette protection, n’importe qui peut afficher votre site dans un cadre sur son propre domaine, le recouvrir d’éléments transparents, et faire cliquer vos visiteurs sur autre chose que ce qu’ils croient.
Deux façons de le dire : la directive frame-ancestors dans une politique de contenu envoyée par en-tête HTTP, qui est la forme moderne, ou l’en-tête historique X-Frame-Options. Ce dernier reste utile comme repli pour d’anciens clients.
À retenir
Sur les navigateurs qui appliquent <code>frame-ancestors</code>, cette directive remplace X-Frame-Options. Si vous envoyez les deux pour compatibilité, donnez-leur une intention cohérente.
Ce qui ne sert plus
Vous verrez encore des listes réclamer X-XSS-Protection. Cet en-tête pilotait un filtre que les navigateurs modernes ont retiré, parce qu’il créait lui-même des problèmes. L’exiger aujourd’hui relève de l’habitude, pas de la sécurité.
Un rapport qui vous le signale comme un manquement moderne mérite d’être lu avec prudence sur le reste : c’est souvent le signe d’une liste recopiée plutôt que d’un examen.
Un en-tête absent n’est pas un site compromis
Cette distinction est la raison d’être de ce guide.
Un en-tête manquant décrit une protection non activée. Il ne dit rien sur l’existence d’une faille, sur l’état de vos comptes d’administration, ni sur ce que votre code fait des données qu’il reçoit. Un site avec les six en-têtes peut être vulnérable ; un site sans aucun peut n’avoir jamais eu d’incident.
Ce que les en-têtes changent, c’est ce qui arrive si une faille existe ailleurs. Ils réduisent ce qu’un attaquant peut en tirer. C’est une réduction de dégâts, pas une absence de risque.
À retenir
Les en-têtes ne rendent pas un site sûr. Ils réduisent ce qu’une faille permet, si elle existe. Un bon score ne confirme que les signaux testés.
Questions fréquentes
Par lequel commencer ?
Commencez par inventorier les types MIME, les références transmises, les fonctions du navigateur et les intégrations en cadre. Posez ensuite les règles simples validées, puis la politique de contenu en mode rapport. Activez HSTS une fois le HTTPS certain partout.
Une extension WordPress suffit-elle ?
Une extension peut les configurer, mais il faut vérifier les en-têtes réellement reçus et éviter les doublons avec le serveur ou le CDN. Pour la politique de contenu, la mise au point reste propre au site.
Mon score est bas, mon site est-il en danger ?
Pas nécessairement. Un score bas signale des protections non activées, pas une faille constatée. Il indique un travail utile à faire, pas une urgence.
Ces en-têtes ralentissent-ils le site ?
Leur coût réseau est généralement minime. Une politique de contenu peut toutefois empêcher le chargement d’une ressource non autorisée : il faut alors corriger la politique ou l’intégration, selon ce qui est légitime.
Parler de votre configuration
Un audit Repère Security examine votre site dans un périmètre que vous signez, et vous remet des constats relus par une personne.
Parler à Repère Security Ce que vous pouvez vérifier vous-même