Découvrez quels en-têtes de sécurité HTTP votre site envoie, leur niveau de configuration et ceux qui manquent. Chaque en-tête absent ou faible est accompagné de la ligne à ajouter à votre serveur.
La CSP est la principale protection contre le cross-site scripting. L'outil vérifie qu'une politique existe et signale les directives faibles : unsafe-inline, unsafe-eval, jokers et default-src absent.
Ces en-têtes imposent HTTPS, bloquent le clickjacking et empêchent le reniflage de type MIME. Le test vérifie la présence et la configuration de chacun, y compris le max-age de HSTS.
WebGuard AI contrôle aussi Referrer-Policy, Permissions-Policy et les en-têtes d'isolation COOP, COEP et CORP, et alerte quand Server ou X-Powered-By révèlent des versions logicielles.
Au minimum : Content-Security-Policy, Strict-Transport-Security, X-Frame-Options (ou frame-ancestors dans la CSP), X-Content-Type-Options: nosniff, Referrer-Policy et Permissions-Policy.
Dans votre serveur web (add_header sous nginx, Header set sous Apache, customHeaders sous IIS), votre CDN ou votre application. Le rapport donne la ligne exacte pour chaque en-tête manquant.
Chaque en-tête a un poids selon son impact (CSP et HSTS pèsent le plus). Des points sont retirés pour les configurations faibles, comme unsafe-inline dans la CSP ou un max-age HSTS trop court.