Analyseur d'en-têtes de sécurité gratuit

L'Analyseur d'en-têtes de sécurité est un outil en ligne gratuit qui vérifie les en-têtes de sécurité d'un site web et fournit des suggestions d'amélioration. Il fonctionne entièrement dans votre navigateur, sans installation ni inscription nécessaires.

Oui, il est entièrement gratuit et ne nécessite aucune inscription.

L'Analyseur d'en-têtes de sécurité vérifie Content-Security-Policy, X-Frame-Options, HSTS, X-Content-Type-Options, Referrer-Policy et d'autres en-têtes de sécurité importants.

Absolument. L'Analyseur d'en-têtes de sécurité traite tout côté client, dans votre navigateur. Aucune donnée n'est téléversée ni stockée sur un quelconque serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, l'Analyseur d'en-têtes de sécurité est entièrement responsive et fonctionne sur les smartphones et les tablettes. Vous pouvez l'utiliser sur n'importe quel appareil doté d'un navigateur web moderne, sans téléchargement d'application.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement l'Analyseur d'en-têtes de sécurité dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a aucune barrière d'inscription ni restriction d'utilisation.

Il vous suffit de saisir vos données dans le champ prévu, d'ajuster les paramètres selon vos préférences, et l'outil les traitera instantanément. Vous pouvez ensuite copier le résultat dans votre presse-papiers ou le télécharger.

L'Analyseur d'en-têtes de sécurité fonctionne sur tous les navigateurs modernes, dont Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Les deux en-têtes limitent la façon dont une page peut être utilisée, mais ils défendent contre des attaques différentes. Content-Security-Policy (CSP) contrôle les origines depuis lesquelles une page est autorisée à charger des ressources — scripts, styles, images, polices et frames — ce qui en fait la défense la plus solide contre le cross-site scripting (XSS) et l'injection de données. X-Frame-Options est plus restreint : il contrôle uniquement si votre page peut être intégrée dans une iframe, ce qui stoppe le clickjacking, où un attaquant superpose votre site pour piéger les utilisateurs et les amener à cliquer. La CSP peut en réalité remplacer X-Frame-Options grâce à sa directive frame-ancestors (réglée sur 'none' pour bloquer toute intégration en frame), si bien que les configurations modernes s'appuient souvent sur la CSP pour les deux. Cet analyseur suit les deux en-têtes, explique le rôle de chacun et met en correspondance les attaques précises qu'ils préviennent dans son onglet Référence, afin que vous voyiez exactement quelle protection vous manque.

Les navigateurs appliquent une restriction de sécurité cross-origin qui empêche le JavaScript d'un site de lire les en-têtes de réponse HTTP bruts d'un autre site. Comme cet outil fonctionne entièrement dans votre navigateur sans backend, il ne peut pas récupérer et analyser les en-têtes réels d'une URL externe — cela nécessiterait une requête côté serveur pour contourner la règle du cross-origin. L'analyseur produit donc une évaluation simulée et illustrative plutôt qu'un scan réellement en direct. Le score, la note et les statuts Présent/Avertissement/Absent sont des exemples, pas votre configuration réelle. La valeur réellement fiable se trouve ailleurs : la référence des en-têtes, la correspondance attaque-en-tête, et les configurations serveur prêtes à copier-coller sont toutes exactes, indépendamment du scan de démonstration. Utilisez la démo pour comprendre le paysage, puis fiez-vous aux onglets Référence et Configurations serveur pour renforcer votre site réel.

La note est pondérée selon la gravité plutôt que de compter chaque en-tête de façon égale, de sorte que les en-têtes les plus importants pèsent le plus lourd. Les en-têtes critiques comme HSTS, CSP et X-Content-Type-Options valent 20 points chacun, les en-têtes de gravité élevée 15, ceux de gravité moyenne 10, et ceux de faible gravité 5. Un en-tête entièrement présent rapporte la totalité de son poids, un en-tête partiellement configuré n'en rapporte que la moitié, et un en-tête absent ne rapporte rien ; le total est ensuite normalisé en pourcentage sur 100. En gros, 95 et plus vaut un A+, 90 et plus un A, 75 et plus un B, 60 et plus un C, et tout ce qui est en dessous de 50 tombe en D ou F, avec plusieurs notes intermédiaires avec plus et moins. Le résumé indique aussi combien d'en-têtes critiques manquent, de sorte qu'une seule absence de HSTS ou de CSP ne peut pas passer inaperçue. Lancez un scan pour voir cette pondération à l'œuvre.

La valeur recommandée pour Strict-Transport-Security est max-age=31536000; includeSubDomains; preload. HSTS force les navigateurs à se connecter uniquement en HTTPS, bloquant les attaques de rétrogradation de protocole et les attaques de l'homme du milieu qui exploitent une première requête non sécurisée. Le max-age s'exprime en secondes, et 31536000 équivaut exactement à un an — une fenêtre longue pour que le navigateur continue d'imposer HTTPS entre deux visites. includeSubDomains étend cette protection à chaque sous-domaine, et preload signale que vous souhaitez que le domaine soit intégré à la liste de préchargement HSTS intégrée aux navigateurs, afin que HTTPS soit appliqué dès la toute première visite d'un utilisateur. Cet analyseur classe HSTS comme un en-tête critique et fournit cette valeur exacte, prête à copier. Récupérez-la dans l'onglet Configurations serveur de l'outil, qui génère les extraits correspondants pour Nginx, Apache, Express et Next.js, à coller directement dans votre configuration.

Une fois que vous savez quels en-têtes sont absents, la correction relève de la configuration, pas du code. L'onglet Configurations serveur de cet outil génère des extraits d'en-têtes prêts à coller pour quatre stacks courantes : Nginx avec les directives add_header, Apache avec mod_headers, Express.js via le middleware Helmet, et Next.js avec la fonction headers() dans next.config.js. Chaque bloc utilise les valeurs recommandées pour chaque en-tête suivi — par exemple nosniff pour X-Content-Type-Options et une Content-Security-Policy de départ — pour que vous n'ayez pas à les assembler vous-même. Copiez le bloc correspondant à votre plateforme, déposez-le dans votre configuration serveur ou applicative, puis rechargez ou redéployez pour que les en-têtes prennent effet. Une fois déployé, vérifiez avec le panneau réseau de votre navigateur ou un vérificateur d'en-têtes côté serveur, puisque le scan de cet analyseur fonctionne lui-même en mode démo. Ouvrez l'onglet Configurations serveur pour copier l'extrait correspondant à votre stack.