Vérifier les en-têtes de sécurité
Testez les en-têtes de sécurité HTTP de n’importe quel site (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy et autres), obtenez une note de A+ à F et voyez comment corriger ce qui manque.
Mode d’emploiNote de sécurité des en-têtes
Disponible en: 
Vérifier les en-têtes de sécurité: à quoi ça sert
Saisissez l’adresse d’un site et voyez quels en-têtes de sécurité HTTP il envoie et lesquels manquent : Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy et Cross-Origin-Opener-Policy. Chacun est expliqué avec une valeur suggérée à copier. La note de A+ à F retire des points pour les en-têtes qui révèlent la version du serveur, comme Server et X-Powered-By.
Idéal pour contrôler un site avant un audit ou un test d’intrusion.
Mode d’emploi
- Saisissez l’adresse du site.
- Touchez Vérifier.
- Ajoutez sur le serveur les en-têtes manquants.
Quand l’utiliser
- Améliorer la note de sécurité du site.
- Protéger le site contre le clickjacking.
- Contrôler la configuration après une modification de Nginx ou Cloudflare.
Questions fréquentes
Que sont les en-têtes de sécurité ?
Des instructions envoyées par le serveur avec la page pour dire au navigateur comment se protéger : toujours utiliser HTTPS, empêcher l’affichage du site dans un autre (clickjacking), d’où charger les scripts et quelles fonctions, comme la caméra et la localisation, la page peut demander.
Comment la note est-elle calculée ?
Chaque en-tête important rapporte des points, avec plus de poids pour HSTS et Content-Security-Policy. Les en-têtes qui révèlent la version du serveur ou du langage font perdre des points. La note va de A+ (tous présents) à F (presque aucun).
Comment ajouter ces en-têtes ?
Sur Nginx, avec add_header ; sur Apache, Header set dans le .htaccess ; sur Cloudflare, via les règles de transformation d’en-têtes ; et dans des frameworks comme Express ou Next.js, avec un middleware comme helmet. L’outil donne la valeur suggérée pour chacun.
Une Content-Security-Policy peut-elle casser mon site ?
Oui, si elle est trop stricte et bloque des scripts que vous utilisez. Commencez par Content-Security-Policy-Report-Only pour voir seulement les rapports et autorisez les origines nécessaires avant de l’appliquer.
Vraiment gratuit ?
Oui, 100 % gratuit. Sans inscription, sans abonnement et sans limite d’utilisation. Tous les outils de Tools123 sont gratuits.