La page d’accueil envoie moins de quatre des six en-têtes de sécurité courants qui aident à protéger les visiteurs contre les connexions interceptées, le clickjacking et les scripts injectés. La plupart ne demandent qu’une ligne de configuration.
Ce que cela signifie
Les en-têtes de sécurité sont des instructions que le serveur envoie avec chaque page pour indiquer au navigateur ce qu’il doit autoriser. Ils ne corrigent pas les faiblesses du site lui-même, mais rendent beaucoup d’attaques courantes bien plus difficiles.
Les six en-têtes notés sont Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (ou frame-ancestors de CSP), Referrer-Policy et Permissions-Policy.
Ce qui le déclenche
Une fois par semaine, la vérification des en-têtes de sécurité charge la page d’accueil en HTTPS et compte combien des six elle envoie : les six donnent un A, cinq un B, quatre un C, trois un D, deux un E et moins un F. À partir de D, ce problème de gravité Moyenne est signalé, avec la note dans le titre et la liste des en-têtes manquants. Il s’affiche dans l’application et n’est pas envoyé par e-mail.
L’absence d’en-tête HSTS est aussi signalée séparément. Voir Aucun en-tête HSTS.
Causes fréquentes
- La plupart des serveurs web et offres d’hébergement n’envoient aucun de ces en-têtes par défaut.
- Les en-têtes sont définis pour certains dossiers ou serveurs, mais pas pour la page d’accueil.
Comment le corriger
- Ajoutez d’abord les plus simples, qui cassent rarement quoi que ce soit : X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin et une Permissions-Policy comme camera=(), microphone=(), geolocation=().
- Configurez-les dans votre serveur web, votre CDN, le panneau de contrôle de votre hébergement ou un plugin de sécurité pour votre CMS.
- Ajoutez Content-Security-Policy en dernier, après l’avoir testé avec Content-Security-Policy-Report-Only, car une politique stricte peut bloquer vos propres scripts, polices ou outils de suivi.
Quand il disparaît
Le problème disparaît à la prochaine vérification hebdomadaire qui trouve au moins quatre des six en-têtes (note C ou supérieure), et son action quitte le plan d’action 7 jours plus tard.
Si vous marquez l’action comme terminée et que le problème est toujours détecté 14 jours plus tard, elle revient avec la mention « La correction n’a pas fonctionné ». Voir Utiliser le plan d’action.