formexposed
Commencer

En-têtes de sécurité

Votre site protège-t-il bien ce que saisissent les visiteurs ?

Une note de A+ à F pour les en-têtes HTTP de votre page d'accueil : HTTPS et HSTS, Content Security Policy, protection contre l'intégration dans un cadre, cookies et ce que le serveur dévoile. Gratuit, sans compte, deux requêtes.

Nous chargeons votre page d'accueil deux fois (https et http), rien d'autre. Les domaines ayant demandé leur exclusion ne sont pas vérifiés.

Ce que nous vérifions

Départ : 100 points. Une protection manquante coûte des points, une protection supplémentaire en ajoute quelques-uns. La note suit les points : A+ à partir de 100 (avec HTTPS, HSTS et une CSP stricte), A à partir de 90, B à partir de 75, C à partir de 60, D à partir de 45, en dessous F.

  • HTTPS : la page et les saisies du formulaire circulent chiffrées (-40 sans).
  • HSTS : les navigateurs ne repassent jamais en http non chiffré, même pour une adresse saisie à la main (-20 sans, -10 en dessous de 6 mois, +5 avec preload).
  • Content Security Policy : seuls les scripts approuvés s'exécutent - un script injecté ne peut pas lire le formulaire (-25 sans, -15 en report-only, -10 avec unsafe-inline/eval).
  • Intégration dans un cadre : aucune page étrangère ne peut afficher la vôtre dans un cadre et intercepter les clics (-20 sans X-Frame-Options ni frame-ancestors).
  • nosniff : le navigateur ne devine pas les types de fichiers (-5 sans).
  • Referrer-Policy : les adresses contenant des paramètres de formulaire ne fuient pas vers d'autres sites (-5 si non sûre).
  • Cookies : Secure, HttpOnly et SameSite (jusqu'à -20).
  • Server et X-Powered-By sans versions - c'est exactement ce que recherchent les attaquants (-5).

Similaire à Mozilla HTTP Observatory et securityheaders.com ; notre pondération place en premier ce qui protège les saisies de formulaire. Une bonne note ne signifie pas un formulaire protégé - c'est le rôle de la vérification du formulaire.