HTTP Headers Analyzer
HTTP Headers Analyzer lit les en-têtes renvoyés par une page et note la présence de huit en-têtes de sécurité (HSTS, CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, COOP, CORP) sur 100. Il audite chaque cookie posé : attributs Secure, HttpOnly et SameSite, préfixes __Host- et __Secure-. Il découpe la Content-Security-Policy directive par directive et signale les sources qui l'affaiblissent ('unsafe-inline', 'unsafe-eval', jokers, schémas https: ou data:) ainsi que les directives absentes qui ne retombent pas sur default-src, comme base-uri.
5 EUR
par mois
7
fonctionnalités incluses
24/7
disponibilité en ligne
- Score de sécurité sur 100 et liste des en-têtes manquants
- Audit des cookies : Secure, HttpOnly, SameSite, préfixes __Host- et __Secure-
- CSP découpée directive par directive
- Sources faibles signalées : 'unsafe-inline', 'unsafe-eval', *, https:, data:
- Directives manquantes : object-src, base-uri, frame-ancestors
- Mode rapport seul (Report-Only) distingué de la politique appliquée
- Liste complète des en-têtes, copiable et exportable en JSON
- Le score additionne le poids des en-têtes présents : HSTS et CSP 20 points chacun, X-Content-Type-Options et X-Frame-Options 15, Referrer-Policy et Permissions-Policy 10, COOP et CORP 5. Il mesure la présence, pas la qualité : une CSP faible compte autant qu'une CSP stricte, d'où l'analyse détaillée.
- Dans la CSP, un constat critique annule l'essentiel de la protection contre les XSS, par exemple 'unsafe-inline' sans nonce ni hash dans script-src.
- 'unsafe-inline' accompagné d'un nonce ou d'un hash est ignoré par les navigateurs qui gèrent CSP niveau 2 ou plus : il ne sert qu'aux navigateurs anciens.
- Pour un cookie, « Sans HttpOnly » est un avertissement quand le nom évoque une session ou un jeton (sess, sid, auth, token), une simple information sinon.
- Le préfixe __Host- exige Secure, Path=/ et aucun attribut Domain ; un cookie qui ne les respecte pas est refusé par le navigateur.
- Seuls les en-têtes de la réponse finale sont analysés ; pour ceux de chaque redirection, utilisez Redirect Tracer.
- Une CSP déclarée par balise <meta http-equiv> dans le HTML n'est pas lue.
- Seuls les cookies posés par cette réponse sont audités : ceux ajoutés après connexion ou par JavaScript n'apparaissent pas. Leur valeur n'est jamais affichée.
- Les valeurs de HSTS, X-Frame-Options ou Referrer-Policy sont affichées mais pas notées.
- Les adresses internes ou privées sont refusées.
Outil Premium
Accès avec un abonnement Premium à 5 euros/mois
Questions fréquentes
Strict-Transport-Security impose HTTPS, Content-Security-Policy limite les sources de scripts et de contenus, X-Content-Type-Options: nosniff empêche le navigateur de deviner le type d'un fichier, X-Frame-Options ou frame-ancestors bloque l'intégration en iframe, Referrer-Policy limite l'adresse transmise aux autres sites.
Déplacez les scripts inline dans des fichiers, ou ajoutez à chaque balise <script> un nonce aléatoire généré à chaque réponse et déclaré dans script-src 'nonce-…'. Avec 'strict-dynamic', les scripts chargés par un script autorisé le sont aussi, ce qui évite de lister chaque domaine.
Secure, HttpOnly, SameSite=Lax (ou Strict si aucun lien externe ne doit garder la session), Path=/ et pas de Domain. Le nom peut alors porter le préfixe __Host-, qui empêche un sous-domaine de remplacer le cookie.
70 points couvrent HSTS, CSP, X-Content-Type-Options et X-Frame-Options, les protections les plus utiles. Regardez ensuite les constats de la CSP et des cookies : un score de 100 avec 'unsafe-inline' dans script-src protège moins qu'un score de 70 avec une CSP stricte.
Outils complémentaires
Complétez votre analyse avec ces outils connexes.
SEO Analyzer
SEOAnalysez le référencement d'une page web : balises title et description, structure des titres, images sans alt, liens internes et externes, score sur 100.
WHOIS Lookup
RéseauPremiumConsultez le WHOIS d'un domaine : propriétaire, dates de création, de modification et d'expiration, serveurs DNS, registrar et contacts associés.
Site Speed Test
SEOMesurez la vitesse de chargement d'un site web : Core Web Vitals, temps de chargement, TTFB, taille de page et nombre de requêtes face aux seuils Google.
Subdomain Finder
RéseauPremiumDécouvrez les sous-domaines d'un site web et cartographiez sa surface d'attaque : résolution IP, statut HTTP, détection de technologies et export CSV.