Vérificateur gratuit d'en-têtes HTTP

Le Vérificateur d'En-têtes HTTP est un outil en ligne gratuit qui affiche les en-têtes de réponse HTTP de n'importe quelle URL, utile pour le débogage et l'analyse de sécurité.

Oui, il est entièrement gratuit et ne nécessite aucune inscription.

Les en-têtes HTTP révèlent le type de serveur, les politiques de mise en cache, les configurations de sécurité, l'encodage du contenu et d'autres détails techniques importants sur un site web.

Absolument. Le Vérificateur d'En-têtes HTTP traite tout côté client, dans votre navigateur. Aucune donnée n'est téléversée ni stockée sur un quelconque serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, le Vérificateur d'En-têtes HTTP est entièrement adaptatif et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur n'importe quel appareil doté d'un navigateur web moderne, sans aucune application à télécharger.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le Vérificateur d'En-têtes HTTP dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a ni barrière d'inscription ni restriction d'utilisation.

Saisissez simplement votre texte dans le champ prévu, ajustez les paramètres selon vos préférences, et l'outil le traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le Vérificateur d'En-têtes HTTP fonctionne dans tous les navigateurs modernes, dont Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Le vérificateur note sept en-têtes de réponse sur une échelle de 100 points, puis convertit le total en une note alphabétique allant de A+ à F. Les deux poids lourds sont Strict-Transport-Security et Content-Security-Policy, valant chacun jusqu'à 25 points car ils préviennent respectivement le déclassement de protocole et le cross-site scripting. X-Frame-Options ajoute 15 points pour la protection contre le clickjacking, tandis que X-Content-Type-Options, Referrer-Policy et Permissions-Policy rapportent 10 points chacun. L'ancien en-tête X-XSS-Protection ne vaut que 5 points symboliques. Un site sans CSP ni HSTS perd donc immédiatement la moitié de son score potentiel, ce qui explique pourquoi ce sont les deux premiers en-têtes à corriger. Saisissez un domaine et l'onglet Sécurité affiche votre note ainsi que le détail des en-têtes présents, absents ou mal configurés.

Ils protègent contre des attaques totalement différentes. Strict-Transport-Security (HSTS) indique au navigateur d'utiliser toujours HTTPS pour un domaine, bloquant les attaques de déclassement et le stripping ; une valeur solide est max-age=31536000; includeSubDomains; preload, soit un an, tous les sous-domaines, et l'éligibilité à la liste de préchargement des navigateurs. Content-Security-Policy (CSP), à l'inverse, contrôle d'où les ressources peuvent être chargées — quelles sources de scripts, styles, images et polices la page accepte — et constitue l'une des défenses les plus solides contre le cross-site scripting et les injections. HSTS renforce la connexion ; CSP renforce le contenu de la page. Un site bien sécurisé configure généralement les deux, qui pèsent chacun 25 points dans la note. Cet outil décompose votre CSP en directives individuelles et signale les caractères génériques ou les valeurs unsafe-inline, alors collez un domaine pour voir comment chacune est configurée.

Cache-Control est une liste de directives séparées par des virgules qui déterminent qui peut stocker une réponse et pendant combien de temps. Le mot public signifie que tout cache, y compris un CDN, peut la conserver, tandis que private restreint le stockage au navigateur de l'utilisateur. La valeur max-age est une durée de vie en secondes, donc max-age=86400 signifie un jour. Des directives comme no-store interdisent totalement la mise en cache, et no-cache autorise le stockage mais impose une revalidation avant réutilisation. Des durées de vie longues sur les ressources statiques accélèrent les visites répétées et allègent la charge du serveur d'origine, tandis que le HTML porte généralement des valeurs courtes ou no-cache pour que les mises à jour apparaissent rapidement. L'onglet Mise en cache de cet outil décode tout cela en langage clair — public ou privé, le max-age, et si la réponse est réellement mise en cache — alors saisissez un domaine pour voir la politique expliquée sans avoir à analyser la chaîne brute vous-même.

Les navigateurs appliquent la politique de même origine, qui empêche le JavaScript d'un domaine de lire les réponses brutes d'un autre domaine, sauf si ce serveur l'autorise explicitement via des en-têtes CORS. C'est une frontière de sécurité délibérée : sans elle, n'importe quelle page visitée pourrait sonder silencieusement vos sessions connectées sur d'autres sites. À cause de cette restriction, un outil purement basé sur le navigateur ne peut pas récupérer les en-têtes en direct d'un domaine tiers arbitraire. Ce vérificateur est conçu comme un outil pédagogique et de démonstration — il génère des jeux d'en-têtes représentatifs et réalistes pour le domaine que vous saisissez afin que vous puissiez voir exactement comment fonctionnent la notation, l'analyse CSP et la décomposition du cache. Pour inspecter les vrais en-têtes d'un serveur en direct, exécutez curl -I https://example.com dans un terminal, ou ouvrez les DevTools, passez à l'onglet Réseau, rechargez, et cliquez sur la requête du document. Utilisez d'abord l'outil pour apprendre à quoi ressemblent de bonnes configurations.

Ces deux en-têtes courts arrêtent deux attaques courantes côté navigateur. X-Frame-Options contrôle si vos pages peuvent être intégrées dans une iframe par un autre site ; le régler sur DENY bloque tout affichage en cadre et SAMEORIGIN n'autorise que votre propre domaine, ce qui déjoue le clickjacking, où un attaquant superpose votre page dans la sienne pour piéger les utilisateurs et leur faire cliquer sur des contrôles cachés. X-Content-Type-Options n'a qu'une seule valeur utile, nosniff, qui indique au navigateur de faire confiance au Content-Type déclaré par le serveur plutôt que de le deviner à partir des octets — empêchant les attaques par détection de type MIME où un fichier téléversé comme image est exécuté comme un script. Les deux sont des victoires rapides valant respectivement 15 et 10 points dans la note de sécurité de cet outil. Saisissez un domaine et l'onglet Sécurité montre si chacun est présent et correctement configuré, aux côtés du reste de l'analyse des en-têtes.