Vérificateur gratuit d'en-têtes de sécurité

L'article 32 du RGPD demande des mesures techniques et organisationnelles appropriées pour sécuriser les données. Le texte ne liste pas les en-têtes HTTP. Il laisse au responsable de traitement le soin de déterminer ce qui est approprié au vu des risques.

En pratique, le CCB (Centre for Cybersecurity Belgium), l'ENISA, l'OWASP et l'APD elle-même citent les en-têtes de sécurité comme base minimale pour un site web. Les recommandations publiées par le CCB et les avis de l'APD soulignent l'importance des configurations TLS et des en-têtes HTTP.

En cas de fuite de données, l'absence d'en-têtes de sécurité est un facteur aggravant dans l'analyse de l'autorité de contrôle. C'est arrivé dans plusieurs dossiers où la vulnérabilité exploitée aurait été bloquée par une politique CSP correcte ou par HSTS.

Ce n'est pas une protection absolue. C'est une mesure de base que toute autorité de protection des données, APD, CNIL ou ICO, considère comme acquise pour un site qui traite des données personnelles.

Il existe une quinzaine d'en-têtes HTTP liés à la sécurité. Six d'entre eux font l'essentiel du travail.

Strict-Transport-Security (HSTS). Oblige le navigateur à utiliser HTTPS pour toutes les requêtes suivantes vers votre domaine. Configuration type : Strict-Transport-Security: max-age=31536000; includeSubDomains. Erreur fréquente : activer HSTS avec un max-age trop court ou sans includeSubDomains.

Content-Security-Policy (CSP). Contrôle quelles sources peuvent charger du code sur votre page. C'est la défense la plus forte contre le cross-site scripting. Configuration difficile à mettre en place sans casser le site. Commencez en mode report-only pendant deux semaines avant de passer en mode enforce.

X-Frame-Options. Empêche votre site d'être affiché dans une iframe sur un domaine tiers. Bloque le clickjacking. Valeur recommandée : SAMEORIGIN. Largement remplacé par la directive frame-ancestors de CSP, mais conservez-le pour les navigateurs anciens.

X-Content-Type-Options. Une seule valeur utile : nosniff. Empêche le navigateur de deviner le type MIME d'une ressource. Bloque une classe d'attaques par upload.

Referrer-Policy. Contrôle l'information envoyée dans l'en-tête Referer lors de la navigation sortante. Valeur recommandée : strict-origin-when-cross-origin. Protège la vie privée des utilisateurs en limitant les fuites d'URL vers les sites tiers.

Permissions-Policy. Désactive les APIs navigateur que votre site n'utilise pas. Caméra, microphone, géolocalisation, capteurs. Configuration type minimale : Permissions-Policy: camera=(), microphone=(), geolocation=().

Les trois environnements les plus courants pour un site de PME belge : Apache, Nginx et Cloudflare en couche devant l'origine.

Apache (.htaccess ou httpd.conf) :

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  Header always set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

Nginx (dans le bloc server) :

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Cloudflare Transform Rules. Depuis l'onglet Rules > Transform Rules > Modify Response Header, ajoutez chaque en-tête comme règle séparée. Avantage : pas besoin d'accès au serveur d'origine. Limite : attention à ne pas définir deux fois le même en-tête, une fois côté origine et une fois côté Cloudflare, ce qui crée des valeurs dupliquées que certains navigateurs ignorent.

Cinq erreurs reviennent dans 90 % des audits.

Le CSP trop strict dès le départ. Le site casse, les administrateurs reviennent à default-src * et laissent tomber. Solution : commencer en Content-Security-Policy-Report-Only avec un endpoint de rapport pendant deux semaines, corriger les violations, puis passer en mode actif.

HSTS sur un site qui alterne encore HTTP et HTTPS. Si une partie du site charge en HTTP, le navigateur bloque tout après la première visite HTTPS. Vérifiez que tout le site, y compris les assets, est en HTTPS avant d'activer HSTS.

Le double en-tête. Configuré à la fois dans WordPress via un plugin et dans Apache. Le navigateur reçoit deux valeurs, souvent contradictoires, et applique un comportement imprévisible. Centralisez la configuration à un seul endroit.

X-Frame-Options sans frame-ancestors CSP. Seul X-Frame-Options est déprécié dans les nouveaux navigateurs. Définissez les deux pour couvrir les clients anciens et récents.

Referrer-Policy trop laxiste. La valeur par défaut dans beaucoup de frameworks est no-referrer-when-downgrade, qui laisse fuir les URLs complètes. Passez à strict-origin-when-cross-origin. C'est aussi une mesure de minimisation au sens du RGPD.

Notre scanner gratuit teste ces six en-têtes en même temps que les autres vérifications RGPD. Pour un test ciblé sur les en-têtes uniquement, utilisez l'outil en haut de cette page.