Vérification des en-têtes de sécurité
Notez les en-têtes de sécurité HTTP de n’importe quel site de A+ à F, avec le rôle de chaque en-tête et ce qu’il faut changer.
Ce que vérifie cet outil
DNSPeek charge votre domaine en https:// (ou en http:// si rien ne répond en HTTPS), suit ses redirections comme un navigateur et lit les en-têtes de réponse de la page finale. Derrière un CDN comme Cloudflare, ce sont les en-têtes envoyés par son edge. Il vérifie Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy et Permissions-Policy, et relève les en-têtes Server ou X-Powered-By qui révèlent des versions logicielles.
Contre quoi protègent ces en-têtes
HSTS maintient les navigateurs en HTTPS pour que personne ne puisse dégrader la connexion. Une CSP limite les sources depuis lesquelles les scripts peuvent se charger : c’est la principale défense contre le cross-site scripting. X-Frame-Options empêche d’autres sites d’intégrer le vôtre dans un cadre pour du clickjacking. nosniff empêche les navigateurs d’exécuter un fichier sous un autre type que celui déclaré. Referrer-Policy limite les URL transmises à d’autres sites, et Permissions-Policy désactive les fonctionnalités du navigateur que vous n’utilisez pas.
Après une migration
Les en-têtes sont définis par le serveur web ou le CMS : ils changent donc souvent quand un site déménage. Comparez la note avant et après la bascule. Ce que les aperçus modifient, et pourquoi, figure sur la page des limites.
Questions fréquentes
Comment la note est-elle calculée ?
Six en-têtes rapportent des points : Strict-Transport-Security 25, Content-Security-Policy 25, X-Frame-Options (ou CSP frame-ancestors) 15, X-Content-Type-Options 15, Referrer-Policy 10 et Permissions-Policy 10. Une valeur faible rapporte la moitié. 95 ou plus donne A+ si aucune version logicielle n’est divulguée, 85 donne A, 70 B, 55 C, 40 D, et en dessous F. Une page qui ne se charge pas normalement (boucle de redirection, échec de connexion, page d’erreur ou page de vérification anti-bot) n’est pas notée : l’outil en indique la raison.
Quel en-tête ajouter en premier ?
Strict-Transport-Security et X-Content-Type-Options: nosniff tiennent chacun en une ligne et sont sans risque sur presque tous les sites. Une Content-Security-Policy protège le mieux mais doit être testée : commencez par Content-Security-Policy-Report-Only et renforcez-la quand plus aucune violation n’est signalée.
Pourquoi ma note est-elle plus basse que sur un autre scanner ?
Les scanners pondèrent les en-têtes différemment et certains en vérifient davantage. Cet outil vérifie les en-têtes de la page sur laquelle votre domaine aboutit après les redirections, telle qu’un visiteur la voit.
Les liens d’aperçu DNSPeek conservent-ils mes en-têtes de sécurité ?
Non. Pour que les pages fonctionnent à l’adresse de l’aperçu, DNSPeek supprime Strict-Transport-Security, Content-Security-Policy et X-Frame-Options dans les aperçus. Vérifiez vos en-têtes sur le vrai domaine après la bascule DNS, avec cet outil.
Vous déplacez un site vers un nouveau serveur ?
Voyez le site sur le nouveau serveur avant de modifier les DNS : DNSPeek vous donne un lien d’aperçu HTTPS qui fonctionne sur tout appareil et que vous pouvez partager avec votre équipe ou votre client. Sans fichier hosts, sans VPN.
Créer un lien d’aperçu gratuit