Generateur d'en-tetes de securite HTTP
Configurez les en-tetes de securite HTTP pour votre serveur web
Strict-Transport-Security (HSTS)
Force les navigateurs a utiliser HTTPS. Recommande : activer avec un max-age d'1 an.
Content-Security-Policy (CSP)
Controle les ressources que le navigateur peut charger. Commencez en mode report-only.
X-Frame-Options
Empeche votre page d'etre integree dans des iframes sur d'autres sites.
X-Content-Type-Options
Empeche le sniffing de type MIME. Toujours defini sur nosniff.
nosniff
Referrer-Policy
Controle la quantite d'informations referrer envoyees avec les requetes.
Permissions-Policy
Controle les fonctionnalites du navigateur que votre site peut utiliser.
# Security Headers add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; add_header X-Frame-Options "DENY" always; add_header X-Content-Type-Options "nosniff" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always;
En savoir plus
Configure essential security headers for your web server.
Que sont les en-têtes de sécurité HTTP ?
Les en-têtes de sécurité HTTP sont des en-têtes de réponse qui indiquent aux navigateurs comment se comporter avec le contenu de votre site. Ils constituent une couche essentielle de défense en profondeur, protégeant contre les attaques courantes comme le XSS, le clickjacking et les attaques par rétrogradation de protocole.