Analyseur d’en-têtes de sécurité
Saisissez une adresse web. Notre serveur récupère la page une fois, puis votre navigateur note ses en-têtes de sécurité, ses cookies et sa configuration TLS, avec une correction pour chaque constat.
Notre serveur interroge une seule fois l’adresse saisie et renvoie ses en-têtes et les détails de son certificat. Rien n’est conservé.
Comment fonctionne l’analyse
Notre serveur interroge l’adresse une seule fois, comme le ferait un navigateur, et suit jusqu’à cinq redirections. Il ne vérifie que des sites web publics sur les ports standard et refuse les adresses privées, locales et réservées, y compris celles atteintes par une redirection. Il renvoie les en-têtes de réponse et les détails TLS ; c’est votre navigateur qui calcule la note.
La note porte sur Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, la protection contre l’intégration dans un cadre, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy et la redirection de http vers https. L’analyse signale aussi les numéros de version dans les en-têtes, les cookies sans Secure, les en-têtes obsolètes, les anciennes versions de TLS et les problèmes de certificat.
Comment la note est calculée
Les contrôles valent 100 points au total, avec des déductions pour les fuites d’informations, les cookies non sécurisés et les faiblesses du certificat ou de TLS. À partir de 85 points, la note est A ; A+ exige en plus HSTS avec includeSubDomains, une CSP sans faiblesse et aucun avertissement. Sans HTTPS, ou avec un certificat refusé par les navigateurs, la note est F. Le détail sous chaque résultat montre d’où vient chaque point.
Questions fréquentes
Que fait votre serveur de l’adresse que je saisis ?
Il demande la page une fois, lit les en-têtes de réponse et le certificat, et les renvoie à votre navigateur. Rien n’est conservé, et l’analyseur s’identifie comme AngelForceScanner dans l’en-tête User-Agent.
Puis-je analyser un site interne ou de préproduction ?
Seulement s’il est accessible depuis Internet sur les ports standard. L’analyseur refuse les adresses privées, locales et réservées pour ne pas pouvoir servir à sonder des réseaux internes.
Pourquoi le nombre d’analyses est-il limité ?
Chaque analyse envoie de vraies requêtes au site ciblé : nous autorisons donc six analyses toutes les dix minutes par connexion, pour garantir un service équitable et éviter les abus.
Pourquoi un autre analyseur donne-t-il une note différente ?
Chaque analyseur pondère les en-têtes différemment. Les constats et le détail du score montrent exactement ce que nous avons vérifié, ce qui compte davantage que la lettre.
Besoin d’aller plus loin qu’un outil ?
Un outil vérifie un point précis. Nos consultants examinent l’ensemble.
Tests d’intrusionArticles liés
-
Sécurité WordPress : une liste de contrôle pratique
Douze mesures de durcissement WordPress, dans l’ordre : mises à jour, extensions abandonnées, 2FA, XML-RPC, sauvegardes, intégrité des fichiers et WAF.
-
Les en-têtes de sécurité qui comptent, et ceux à abandonner
Guide pratique : CSP avec nonces, HSTS et preload, frame-ancestors, Referrer-Policy, Permissions-Policy, COOP, avec des exemples et ce qu’il faut retirer.
-
Concevoir et tester des téléversements de fichiers sécurisés
Une checklist de contrôles pour les fonctions de téléversement, tirée de la cheat sheet OWASP, avec un tableau de tests à exécuter sur chaque endpoint.