Audit des en-têtes de sécurité
Security Header Scan
Note les en-têtes HSTS, CSP, de cadrage, de référent et de permissions d’un site et indique ce qu’il faudrait ajouter.
La plupart des en-têtes qui durcissent un site coûtent une ligne de configuration chacun et sont absents de la plupart des sites parce que personne n’a regardé. Ceci charge une URL et note ce qui est revenu — HSTS, CSP, encadrement, référent et politique de permissions — avec la ligne à ajouter pour chacun de ceux qui manquent.
C’est notre serveur qui fait cette requête pour vous. Nous ne lui transmettons que l’URL que vous avez saisie — aucun de vos cookies ni votre session ne part avec. Le serveur ne se connecte qu’à des adresses publiques et refuse les adresses privées et internes.
Comment s’en servir
Entrez l’URL
Employez l’adresse que les gens visitent réellement. Les en-têtes diffèrent fréquemment entre le domaine nu et `www`, et entre le document HTML et les ressources statiques servies par une autre couche.
Corrigez d’abord ceux de l’encadrement et du transport
`Strict-Transport-Security` et une directive `frame-ancestors` coûtent peu, n’ont aucun effet sur le rendu et ferment deux classes entières d’attaques. Commencez par là.
Traitez la CSP à part
Une politique de sécurité du contenu doit être construite contre ce que vos pages chargent, et non collée depuis un rapport. Le générateur de CSP fait cette partie.
Questions fréquentes
Une bonne note veut-elle dire que le site est sûr ?
Non. Cela veut dire qu’un ensemble d’en-têtes de réponse est présent. Cela ne dit rien de l’authentification, des failles d’injection, du contrôle d’accès ni de ce qui tourne derrière l’URL : toute la substance de la sécurité d’un site est hors de vue ici.
Mes en-têtes sont posés mais ne sont pas détectés.
Vérifiez la réponse réellement notée : une redirection de `http` vers `https`, ou du domaine nu vers `www`, est peut-être ce qui a été chargé. Un CDN ou un pare-feu applicatif devant peut aussi retirer ou ajouter des en-têtes après que votre origine les a posés.
Dois-je activer le préchargement HSTS ?
Seulement quand chaque sous-domaine, présent et futur, sait servir en HTTPS : le préchargement est inscrit en dur dans les navigateurs et le retrait prend des mois. Faites tourner `max-age` à une valeur courte d’abord et augmentez-la une fois que vous êtes sûr.
À alimenter depuis
Inspecteur d’en-têtes HTTP
HTTP Header Inspector
Interroge une adresse et montre les en-têtes de réponse complets, la chaîne de redirections, les temps de réponse et la compression employée.
Vérificateur de certificat SSL
SSL Certificate Checker
Se connecte à un hôte, montre la chaîne servie, l’expiration, les protocoles et les suites de chiffrement acceptés, et signale les trous dans la chaîne.
Empreinte d’intégrité de sous-ressource
Subresource Integrity Hash
Calcule l’attribut Subresource Integrity (sha256, sha384 ou sha512) pour un script ou une feuille de style que vous collez ou déposez.
Générateur de CSP
CSP Builder
Construit une Content-Security-Policy à partir d’un formulaire guidé ou d’un rapport, et explique chaque directive.
Ensuite
Ces outils acceptent ce que celui-ci produit : le résultat peut y aller directement.
Testeur CORS
CORS Tester
Envoie la requête préalable qu’un navigateur enverrait depuis l’origine que vous indiquez, plus un GET portant cette origine, et explique selon les règles du standard Fetch quel en-tête a bloqué la requête.
Générateur de CSP
CSP Builder
Construit une Content-Security-Policy à partir d’un formulaire guidé ou d’un rapport, et explique chaque directive.
Inspecteur d’en-têtes HTTP
HTTP Header Inspector
Interroge une adresse et montre les en-têtes de réponse complets, la chaîne de redirections, les temps de réponse et la compression employée.
Vérificateur de certificat SSL
SSL Certificate Checker
Se connecte à un hôte, montre la chaîne servie, l’expiration, les protocoles et les suites de chiffrement acceptés, et signale les trous dans la chaîne.
Nettoyeur de CSV
CSV Cleaner
Rogne les cellules, normalise les en-têtes, redresse les formats de nombre et de date et signale les lignes qui n’ont pas le bon nombre de colonnes.
Jointure de deux CSV
CSV Join
Joint deux tableaux sur une colonne clé en jointure interne, gauche, droite ou externe, et montre les lignes restées sans correspondance.