GmorkOutil gratuit
Saisissez un site web pour voir lesquels des six en-têtes de sécurité HTTP recommandés sa page d’accueil envoie, quelles valeurs sont faibles et s’il révèle des versions de logiciels. Gratuit, sans inscription.
Chacun correspond à une ligne de configuration serveur. Voici son utilité et une valeur de départ raisonnable.
Indique aux navigateurs d’utiliser toujours https pour votre site, afin qu’une connexion ne puisse pas être discrètement rétrogradée en http sur un réseau non fiable.
Strict-Transport-Security: max-age=31536000; includeSubDomainsSix mois (15552000 secondes) est la durée minimale considérée comme solide par Gmork. Ajoutez includeSubDomains uniquement si chaque sous-domaine utilise https.
Indique d’où les scripts, styles, images et cadres peuvent être chargés. Cela limite les scripts injectés, comme les dispositifs de vol de carte bancaire, qui pointent vers un domaine d’attaquant.
Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'Commencez avec Content-Security-Policy-Report-Only pour voir ce qui casserait, puis appliquez la règle. Report-only seul ne bloque rien.
Empêche d’autres sites d’encadrer vos pages pour tromper les visiteurs et les inciter à cliquer (clickjacking). Une règle frame-ancestors dans la CSP a le même effet et est prise en compte ici.
X-Frame-Options: DENYUtilisez SAMEORIGIN si votre propre site encadre ses pages.
Empêche le navigateur de deviner le type de fichier, afin qu’un fichier téléchargé ne puisse pas être exécuté comme un script.
X-Content-Type-Options: nosniffnosniff est la seule valeur valable.
Contrôle la quantité de l’adresse de votre page envoyée à d’autres sites lorsque les visiteurs quittent la page ou que celle-ci charge des ressources externes.
Referrer-Policy: strict-origin-when-cross-originÉvitez unsafe-url, qui envoie l’adresse complète, y compris les chaînes de requête, à chaque site.
Désactive les fonctionnalités du navigateur que votre site n’utilise pas, comme la caméra, le microphone ou la localisation, afin que le code injecté ou les intégrations ne puissent pas les demander.
Permissions-Policy: camera=(), microphone=(), geolocation=()N’excluez aucune fonctionnalité réellement utilisée par le site, ou autorisez-la pour votre propre origine avec (self).
L’outil signale également un en-tête X-Powered-By, ou un en-tête Server avec un numéro de version tel que nginx/1.18.0. Ils ne sont pas des vulnérabilités en soi, mais ils rendent les logiciels obsolètes faciles à repérer. Ils ne comptent jamais parmi les six.
La plupart des serveurs et frameworks peuvent les supprimer, par exemple server_tokens off dans nginx.
Vous souhaitez une version plus détaillée ? Lisez Explication des en-têtes de sécurité.
Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options (ou la règle frame-ancestors de la CSP), X-Content-Type-Options, Referrer-Policy et Permissions-Policy. Il signale également lorsque l’en-tête Server ou X-Powered-By révèle des versions logicielles.
Non. Les en-têtes de sécurité renforcent la protection : ils rendent certaines attaques plus difficiles ou limitent les dégâts. Un en-tête manquant est un conseil d’amélioration, pas une preuve de compromission.
La page d’accueil que vous saisissez, après avoir suivi les redirections. Les en-têtes peuvent différer selon les pages, donc vérifiez séparément les pages importantes si elles sont servies par un système différent.
Oui, sans compte. Il est limité en fréquence afin que tout le monde puisse l’utiliser, et chaque site ajouté à Gmork reçoit la même vérification des en-têtes à chaque analyse.
Vous vous inquiétez d’autre chose que des en-têtes ? Essayez le contrôle gratuit de piratage de site web.