Vérifications / Liens, canonical et vitesse

En-têtes de sécurité manquants

Content-Security-Policy, X-Content-Type-Options, X-Frame-Options et Referrer-Policy protègent les visiteurs contre les scripts injectés, le clickjacking et la fuite d'URL.

security_headers_missing · Liens, canonical et vitesse · Remarque

Ce qui la déclenche

Il manque à la réponse de votre page d'accueil au moins l'un de ces en-têtes : Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (non compté quand la Content-Security-Policy a frame-ancestors) et Referrer-Policy.

Ce qu'il faut changer

Ajoutez les en-têtes de l'encadré de correction à la configuration de votre serveur ou CDN.

Exemple

En-têtes de réponse à ajouter sur votre serveur ou votre CDN :

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: frame-ancestors 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Comment confirmer la correction

1. Exécutez curl -I https://example.com/ et vérifiez que chaque en-tête figure dans la réponse
2. Lancez une nouvelle exploration

Fréquence

Nous n'avons pas mesuré sa fréquence sur un échantillon de sites. Les chiffres apparaissent ici quand une étude la couvre.

À propos de cette vérification

Réglages selon la plateforme

Où se trouve le réglage sur quelques plateformes, d'après la page d'aide de chacune, lue le 26 octobre 2026. Sur tout autre serveur, appliquez l'encadré de correction ci-dessus.

Cloudflare

Dans Cloudflare : Rules Overview → Create rule → Response Header Transform Rule → Set static. (page d'aide de Cloudflare)

Netlify

Netlify : placez ceci dans _headers. (page d'aide de Netlify)

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  Content-Security-Policy: frame-ancestors 'self'
  X-Content-Type-Options: nosniff
  X-Frame-Options: SAMEORIGIN
  Referrer-Policy: strict-origin-when-cross-origin
  Permissions-Policy: camera=(), microphone=(), geolocation=()

Vercel

Vercel : placez ceci dans vercel.json. (page d'aide de Vercel)

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        {
          "key": "Strict-Transport-Security",
          "value": "max-age=31536000; includeSubDomains"
        },
        {
          "key": "Content-Security-Policy",
          "value": "frame-ancestors 'self'"
        },
        {
          "key": "X-Content-Type-Options",
          "value": "nosniff"
        },
        {
          "key": "X-Frame-Options",
          "value": "SAMEORIGIN"
        },
        {
          "key": "Referrer-Policy",
          "value": "strict-origin-when-cross-origin"
        },
        {
          "key": "Permissions-Policy",
          "value": "camera=(), microphone=(), geolocation=()"
        }
      ]
    }
  ]
}

Vérifications liées

• Une page publique ne peut pas être mise en cache
• Scripts et styles bloquant le rendu
• La version du serveur est publique
• Le sitemap n'a pas de dates de modification utiles

Comment fonctionne un audit : méthode