Aller au contenu
uencoder

Security Header

Les en-têtes HTTP de sécurité sont des en-têtes de réponse qui ordonnent au navigateur d'activer des mécanismes de sécurité, comme CSP, HSTS et X-Frame-Options.

Objectif

Déclarer des politiques de sécurité via les en-têtes HTTP afin que le navigateur active automatiquement les protections, allégeant la charge de la défense au niveau du code.

Mécanisme

En-têtes clés : Content-Security-Policy (défense XSS), Strict-Transport-Security (HSTS), X-Frame-Options (clickjacking), X-Content-Type-Options: nosniff (reniflage MIME), Referrer-Policy (fuites de référent), Permissions-Policy (permissions d'API).

Cas d’usage

  • Durcissement de la sécurité des applications Web
  • Défense XSS et clickjacking
  • Application forcée de HTTPS
  • Conformité sécurité

Exemples

  • entrée 
    Content-Security-Policy: default-src 'self'
    Output 
    Restricts resource sources

    CSP header

Erreurs courantes

Missing key security headers
Scan with securityheaders.com and fill the gaps

Termes associés

CSP
CSP (Content Security Policy) déclare, via un en-tête HTTP, quelles origines de ressources une page peut charger, réduisant la surface d'attaque du XSS et de l'injection de données.
GLOSSAIRE
HSTS
HSTS (HTTP Strict Transport Security) déclare via un en-tête HTTP qu'un site n'est joignable qu'en HTTPS, prévenant le SSL stripping et les attaques par rétrogradation.
GLOSSAIRE
CORS
CORS (Cross-Origin Resource Sharing) est un mécanisme de sécurité du navigateur qui utilise des en-têtes HTTP pour contrôler si une page peut accéder à des ressources d'une autre origine, empêchant les lectures intersites.
GLOSSAIRE
Clickjacking
Le clickjacking est une attaque qui superpose une iframe transparente sur une page leurre afin que la victime clique sans le savoir sur des boutons du site ciblé.
GLOSSAIRE

References