Les protections du navigateur

À chaque page, votre site peut glisser au navigateur quelques consignes de sécurité. Le visiteur ne les voit pas, mais elles bloquent des attaques courantes.

C'est quoi ?

On les appelle « en-têtes de sécurité ». Ce sont de courtes lignes envoyées avec chaque page, du type « n'affiche jamais ce site à l'intérieur d'un autre site » ou « n'exécute que les scripts qui viennent de chez moi ».

À quoi servent-elles ?

• Empêcher l'encadrement du site (X-Frame-Options). Sans elle, un escroc peut afficher votre site dans le sien, sous un calque invisible, pour faire cliquer vos visiteurs là où il veut.
• Limiter ce qui peut s'exécuter (Content-Security-Policy). Si un pirate parvient à glisser un script dans une page, le navigateur refuse de le lancer.
• Ne pas deviner le type des fichiers (X-Content-Type-Options). Évite qu'un fichier banal soit interprété comme un programme.
• Limiter ce que votre site dit aux autres (Referrer-Policy). Quand un visiteur clique vers un autre site, celui-ci n'apprend pas quelle page exacte il consultait.

Et les cookies ?

Un cookie de connexion est une petite clé qui garde vos clients connectés. Le bilan vérifie qu'il est protégé : envoyé uniquement en HTTPS (« Secure ») et illisible par les scripts de la page (« HttpOnly »). Sans ces protections, il est plus facile à voler.

Est-ce grave si elles manquent ?

Ce n'est pas une faille en soi : c'est une ceinture de sécurité qui n'est pas attachée. Le bilan les classe « À améliorer ». Elles deviennent vraiment importantes si votre site a un espace client, un formulaire de paiement ou un accès administrateur.

Que faire

Ces consignes s'ajoutent dans la configuration du serveur ou avec une extension de sécurité. C'est un travail d'une heure pour quelqu'un qui connaît, à tester ensuite page par page, car une consigne trop stricte peut bloquer un élément légitime du site.