En-têtes HTTP d'une URL

Ce que NetCheck affiche

NetCheck envoie une requête vers l'adresse indiquée depuis ses serveurs, suit les redirections une à une, puis affiche pour la réponse finale :

• le code de statut et le nombre de redirections suivies ;
• le serveur déclaré et le temps de réponse ;
• un bilan des en-têtes de sécurité présents ou absents ;
• la liste complète des en-têtes, pour une analyse fine.

Les codes de statut à connaître

Les en-têtes de sécurité

• Strict-Transport-Security (HSTS) oblige le navigateur à n'utiliser que le HTTPS pour ce domaine pendant une durée donnée, ce qui déjoue les attaques qui tentent de repasser en HTTP. Valeur courante : max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) liste les sources autorisées pour les scripts, les styles, les images et les cadres. C'est la meilleure défense contre l'injection de script (XSS), et la plus délicate à régler : une politique trop stricte casse le site.
• X-Frame-Options, ou la directive frame-ancestors de la CSP, empêche d'intégrer la page dans un cadre sur un autre site, ce qui bloque le détournement de clic.
• X-Content-Type-Options: nosniff interdit au navigateur de deviner le type d'un fichier, une porte d'entrée classique pour faire exécuter du contenu piégé.
• Referrer-Policy limite ce que la page transmet de son adresse aux sites vers lesquels elle mène.
• Permissions-Policy désactive les fonctions sensibles dont le site n'a pas besoin : caméra, micro, géolocalisation.

L'absence d'un de ces en-têtes n'est pas une faille en soi, mais chacun ferme une famille d'attaques pour un coût presque nul.

Redirections et référencement

Chaque redirection ajoute un aller-retour réseau et dilue un peu le signal envoyé aux moteurs. Visez au plus une redirection entre l'adresse saisie et la page finale. Une chaîne typique à corriger : http://exemple.fr, puis https://exemple.fr, puis https://www.exemple.fr, puis https://www.exemple.fr/accueil. Mieux vaut rediriger la première adresse directement vers la dernière.

Le cache

• Cache-Control dit qui peut garder la réponse, et combien de temps. no-store interdit tout stockage, max-age=3600 autorise une heure.
• ETag et Last-Modified permettent au navigateur de ne redemander la page que si elle a changé, ce qui produit une réponse 304 très légère.
• Age, ajouté par les CDN, indique depuis combien de secondes la réponse est en cache.

Questions fréquentes

Pourquoi le résultat diffère-t-il de ce que je vois dans mon navigateur ?

La requête part des serveurs de NetCheck, pas de votre ordinateur. Un site peut répondre différemment selon le pays, la langue, les cookies ou le type de client, et certains pare-feu bloquent les requêtes automatiques avec une 403. Le résultat reste représentatif de ce que voit un robot, un moteur de recherche par exemple.

L'en-tête « Server » est-il un risque ?

Il révèle le logiciel utilisé, parfois sa version, ce qui aide un attaquant à cibler des failles connues. Masquer la version est une bonne pratique, mais pas une protection en soi : tenir le serveur à jour compte bien davantage.

Faut-il une 301 ou une 302 pour passer en HTTPS ?

Une 301 (ou une 308), puisque le changement est définitif. Ajoutez ensuite l'en-tête HSTS, pour que le navigateur n'essaie même plus la version HTTP.

Mon site renvoie 200 mais la page est vide ou en erreur : que se passe-t-il ?

Certaines applications affichent une page d'erreur tout en renvoyant un code 200. Les moteurs appellent ça une « soft 404 » et finissent par ignorer ces pages. Une page introuvable doit renvoyer une vraie 404.