Analyse des en-têtes HTTP
SécuritéRésultat gratuit
Mis à jour le
Headers cloudflare.com
Résultat de l'analyse Headers pour cloudflare.com. Analysez les en-têtes HTTP d'un site : score sur 100, en-têtes de sécurité manquants, attributs de chaque cookie et directives faibles de la CSP.
Analyse de sécurité HTTP
https://cloudflare.com
100/100
Excellent
Score de sécurité des en-têtes
HTTP 200cloudflare
En-têtes de sécurité
Strict-Transport-SecurityPrésent
Content-Security-PolicyPrésent
X-Content-Type-OptionsPrésent
X-Frame-OptionsPrésent
X-XSS-ProtectionPrésent
Referrer-PolicyPrésent
Permissions-PolicyPrésent
En-têtes complets et recommandations
Disponible avec un compte Premium
Débloquer l'accès complet
Créez un compte gratuit pour utiliser tous nos outils ou passez Premium pour des résultats illimités et des fonctionnalités avancées.
- Accès à 20+ outils OSINT et cybersécurité
- Résultats complets sans restriction
- Export JSON, CSV et rapports PDF
Outils complémentaires
Questions fréquentes — Analyse des en-têtes HTTP
Q.Quels sont les en-têtes HTTP de sécurité importants ?▾
Strict-Transport-Security impose HTTPS, Content-Security-Policy limite les sources de scripts et de contenus, X-Content-Type-Options: nosniff empêche le navigateur de deviner le type d'un fichier, X-Frame-Options ou frame-ancestors bloque l'intégration en iframe, Referrer-Policy limite l'adresse transmise aux autres sites.
Q.Comment retirer 'unsafe-inline' de ma CSP ?▾
Déplacez les scripts inline dans des fichiers, ou ajoutez à chaque balise <script> un nonce aléatoire généré à chaque réponse et déclaré dans script-src 'nonce-…'. Avec 'strict-dynamic', les scripts chargés par un script autorisé le sont aussi, ce qui évite de lister chaque domaine.
Q.Quels attributs donner à un cookie de session ?▾
Secure, HttpOnly, SameSite=Lax (ou Strict si aucun lien externe ne doit garder la session), Path=/ et pas de Domain. Le nom peut alors porter le préfixe __Host-, qui empêche un sous-domaine de remplacer le cookie.
Q.Qu'est-ce qu'un bon score ?▾
70 points couvrent HSTS, CSP, X-Content-Type-Options et X-Frame-Options, les protections les plus utiles. Regardez ensuite les constats de la CSP et des cookies : un score de 100 avec 'unsafe-inline' dans script-src protège moins qu'un score de 70 avec une CSP stricte.
http headersen-tetes httpsecurite webhstscspcontent security policyunsafe-inlinecookie secure httponly samesite