Comment utiliser l'analyseur d'en-têtes HTTP

Récupérez les en-têtes de réponse HTTP de la page à analyser. Dans Chrome : ouvrez les outils de développement (F12), l’onglet Réseau, cliquez sur une requête, faites défiler jusqu’à “ En-têtes de réponse ” et copiez-les. Vous pouvez également utiliser curl : `curl -I https://example.com`. Collez ensuite le résultat dans le champ prévu à cet effet. L’analyseur vérifie l’état, les en-têtes de sécurité, la mise en cache, la compression et signale les fuites d’informations.

Pourquoi cet outil est important

Les en-têtes HTTP contrôlent la quasi-totalité des aspects de la sécurité, des performances et du référencement (SEO) des pages, en dehors du code HTML lui-même. L'absence de HSTS permet les attaques par rétrogradation. L'absence de Cache-Control fait exploser votre facture CDN. L'absence de Content-Encoding augmente considérablement la taille des données transmises (70%). Les en-têtes contenant des fuites d'informations (Server, X-Powered-By) indiquent précisément aux attaquants les failles à exploiter. Chaque correction nécessite une simple modification de configuration.

Cas d'utilisation courants

• Audit de sécurité préalable au lancement avant la mise en service
• Diagnostiquer pourquoi un CDN ne met pas en cache correctement
• Audit de la sécurité du site client avant la signature du contrat
• Confirmation que la chaîne de redirection fonctionne comme prévu
• Identification des en-têtes de divulgation technologique qui devraient être supprimés
• Vérifier que la compression est activée sur une page à chargement lent

Les en-têtes les plus importants

Pour la sécurité : strict-transport-security, content-security-policy, x-frame-options, x-content-type-options, referrer-policy. Pour les performances : cache-control, content-encoding, vary. Pour le référencement : cache-control (un cache plus long améliore les Core Web Vitals), x-robots-tag (contrôle l’indexation des ressources non HTML), link (canonical, hreflang dans les en-têtes pour les ressources non HTML).

Foire aux questions

D'où puis-je récupérer les en-têtes de réponse ?
Outils de développement Chrome → Onglet Réseau → Cliquez sur une requête → “ En-têtes ” → Faites défiler jusqu’à “ En-têtes de réponse ”. Vous pouvez également exécuter `curl -I URL` pour une vérification rapide en ligne de commande.

Qu’est-ce que le HSTS et pourquoi est-ce important ?
L'en-tête Strict-Transport-Security indique aux navigateurs d'utiliser systématiquement HTTPS pour votre domaine, bloquant ainsi les attaques par rétrogradation où les attaquants imposent l'utilisation de HTTP. Une fois configuré, le navigateur refuse le protocole HTTP, même si l'utilisateur le saisit. Il est impératif de l'activer sur les sites en production.

Dois-je masquer l'en-tête Serveur ?
Pour renforcer la sécurité, oui : divulguer “ nginx 1.18 ” indique aux attaquants les vulnérabilités CVE concernées. Ces en-têtes sont faciles à supprimer dans nginx, Apache, IIS et la plupart des CDN. Ce n’est pas un problème critique, mais un gain de sécurité gratuit.

À quoi sert l'en-tête X-Robots-Tag ?
Il contrôle l'indexation des ressources non HTML (PDF, images, fichiers JSON). Vous ne pouvez pas ajouter pour générer un PDF — mais vous pouvez envoyer `X-Robots-Tag: noindex` comme en-tête HTTP. Utile pour empêcher l’indexation des ressources internes.