Le site n’envoie pas l’en-tête HSTS, qui indique aux navigateurs de toujours utiliser HTTPS pour lui. Sans lui, la première requête d’un visiteur peut passer en HTTP simple, où elle pourrait être interceptée, par exemple sur un Wi-Fi public.
Ce que cela signifie
HSTS (HTTP Strict Transport Security) est un en-tête de réponse comme Strict-Transport-Security: max-age=31536000. Une fois qu’un navigateur l’a vu, il utilise HTTPS pour le site pendant ce nombre de secondes, même lorsque quelqu’un saisit une adresse en http:// ou clique dessus.
Ce qui le déclenche
Une fois par semaine, la vérification des en-têtes de sécurité charge la page d’accueil en HTTPS. Si elle n’a pas d’en-tête Strict-Transport-Security avec un max-age supérieur à zéro, ce problème de gravité Moyenne est signalé. Il s’affiche dans l’application et n’est pas envoyé par e-mail.
HSTS fait aussi partie des six en-têtes pris en compte dans la note des en-têtes de sécurité. Voir En-têtes de sécurité insuffisants.
Causes fréquentes
- Le serveur web, l’offre d’hébergement ou le CDN ne l’envoie pas par défaut.
- Il a été omis lors du passage du site en HTTPS et n’a jamais été ajouté.
- Il est envoyé avec max-age=0, ce qui désactive HSTS.
Comment le corriger
- Assurez-vous que tout le site fonctionne en HTTPS et que le HTTP simple redirige vers lui. Voir HTTPS mal configuré.
- Ajoutez Strict-Transport-Security: max-age=31536000 dans les réglages de votre serveur web, de votre CDN ou de votre hébergement. Dans Cloudflare, par exemple, il se trouve sous SSL/TLS → Edge Certificates.
- N’ajoutez includeSubDomains ou preload qu’une fois que chaque sous-domaine fonctionne en HTTPS, car les navigateurs refuseront alors aussi le HTTP simple pour eux, et le préchargement est difficile à annuler.
Quand il disparaît
La vérification est hebdomadaire : le problème disparaît donc à la prochaine vérification hebdomadaire qui ne le détecte plus, et son action quitte le plan d’action 7 jours plus tard.
Si vous marquez l’action comme terminée et que le problème est toujours détecté 14 jours plus tard, elle revient avec la mention « La correction n’a pas fonctionné ». Voir Utiliser le plan d’action.