Améliorez votre score de sécurité avec l'outil HTTP Observatory de Mozilla.

Sécurisation des en-têtes HTTP

2025-04-29

Image par Vicki Hamilton de Pixabay

Récemment dans le cadre du développement de mon CMS et de mes sites j'ai été confronté au durcissement, j'ai donc entrepris de mettre en place de bonnes pratiques visant à réduire la surface d’attaque. Evidemment, cela concerne plusieurs domaines notamment en désactivant les fonctionnalités inutiles, en limitant les accès, en corrigeant les vulnérabilités connues, et en mettant en place des contrôles stricts. Peut être que j'aborderais cela dans de futurs articles mais dans un premier temps je souhaite vous faire part de la sécurisation des en-têtes HTTP.

Un pilier essentiel de la sécurité web

La sécurité d’un site web ne dépend pas seulement de son code ou de son hébergement : les en-têtes HTTP (HTTP headers) jouent un rôle crucial dans la prévention de nombreuses attaques, notamment le cross-site scripting (XSS), le clickjacking, ou encore la fuite de données sensibles. Dans cet article, nous allons explorer les principaux en-têtes de sécurité HTTP, puis voir comment l’outil HTTP Observatory de Mozilla permet de les évaluer efficacement.

📦 Qu’est-ce qu’un en-tête HTTP de sécurité ?

Les en-têtes HTTP sont des métadonnées échangées entre le client (navigateur) et le serveur lors de chaque requête HTTP. Certains en-têtes peuvent renforcer la sécurité d’un site en imposant des comportements stricts au navigateur.

Voici une liste des en-têtes de sécurité les plus recommandés :

Strict-Transport-Security (HSTS) : Force l’utilisation du HTTPS pour toutes les connexions futures.
Content-Security-Policy (CSP) : Limite les sources autorisées de scripts, images, etc. et prévient les attaques XSS.
X-Content-Type-Options : Empêche le navigateur de deviner le type de contenu (« sniffing »).
X-Frame-Options : Empêche l’intégration du site dans une iframe, évitant le clickjacking.
X-XSS-Protection : Active les filtres XSS des navigateurs (moins utilisé aujourd’hui, remplacé par CSP).
Referrer-Policy : Contrôle quelles données de referrer sont envoyées.
Permissions-Policy (anciennement Feature-Policy) : Contrôle l’accès aux APIs comme la géolocalisation, le micro, etc.

🧪 HTTP Observatory : évaluer automatiquement votre sécurité

HTTP Observatory est un outil gratuit développé par Mozilla qui scanne un site et lui attribue une note de sécurité basée sur ses en-têtes HTTP. Fonctionnalités principales :

Analyse des en-têtes HTTP
Comparaison avec les bonnes pratiques
Détail des failles ou en-têtes manquants
Score global (de F à A+)

🔗 Lien : https://observatory.mozilla.org

Un autre site très utile est : https://securityheaders.com./

Les en-têtes HTTP de sécurité sont faciles à implémenter mais souvent négligés. Grâce à des outils comme HTTP Observatory, il est simple d’auditer et renforcer la protection de votre site. Pensez à les intégrer dans chaque déploiement !