Générateur d’en-têtes de sécurité
Cochez les en-têtes, indiquez les domaines externes utilisés par le site (polices, analytics, vidéos) et copiez la configuration de votre serveur.
Mode d’emploiEn-têtes de sécurité du site
Disponible en: 
Générateur d’en-têtes de sécurité: à quoi ça sert
Cochez les en-têtes et indiquez les domaines externes utilisés par le site pour les scripts, les styles, les polices, les images, les connexions et les iframes. L’outil compose la Content-Security-Policy avec self, frame-ancestors, base-uri, form-action et object-src none, avec l’option du mode rapport seul pour tester avant de bloquer.
La configuration est prête pour Nginx (add_header always), Apache (.htaccess), le fichier _headers de Netlify et Cloudflare Pages, ou vercel.json.
Mode d’emploi
- Choisissez le serveur et cochez les en-têtes.
- Indiquez les domaines externes utilisés par le site.
- Copiez la configuration et testez avec la console du navigateur ouverte.
Quand l’utiliser
- Renforcer la sécurité de sites statiques.
- Protéger le site contre le clickjacking.
- Préparer la CSP d’un site avant d’activer le blocage.
Questions fréquentes
À quoi servent ces en-têtes ?
Ils indiquent au navigateur comment se protéger : n’utiliser que HTTPS (HSTS), ne pas deviner le type de fichier (nosniff), ne pas laisser le site s’ouvrir dans un autre site (contre le clickjacking), limiter ce qui est envoyé dans le Referer et bloquer la caméra, le micro et la localisation que le site n’utilise pas.
La Content-Security-Policy peut-elle casser le site ?
Oui, s’il manque un domaine utilisé par le site (Google Fonts, Analytics, YouTube, CDN). Commencez par le mode rapport seul (Report-Only), ouvrez le site avec la console du navigateur ouverte, ajoutez les domaines qui apparaissent comme bloqués et ne passez qu’ensuite au mode qui bloque.
Faut-il faire attention au HSTS ?
Oui : une fois que le navigateur a reçu le HSTS, il n’accède au domaine qu’en HTTPS pendant la durée du max-age. N’activez-le que lorsque HTTPS fonctionne sur tout le domaine, et ne cochez les sous-domaines que si tous ont HTTPS.
Comment vérifier que cela a fonctionné ?
Ouvrez le site, allez dans les outils de développement, onglet Réseau, cliquez sur la page et regardez les en-têtes de la réponse. Il existe aussi des vérificateurs en ligne d’en-têtes de sécurité.
Vraiment gratuit ?
Oui, 100 % gratuit. Sans inscription, sans abonnement et sans limite d’utilisation. Tous les outils de Tools123 sont gratuits.