# Les protections du navigateur

> Des consignes invisibles que votre site peut donner au navigateur pour protéger vos visiteurs. Elles manquent sur la plupart des sites.

À chaque page, votre site peut glisser au navigateur quelques consignes de sécurité. Le visiteur ne les voit pas, mais elles bloquent des attaques courantes.

## C'est quoi ?

On les appelle « en-têtes de sécurité ». Ce sont de courtes lignes envoyées avec chaque page, du type « n'affiche jamais ce site à l'intérieur d'un autre site » ou « n'exécute que les scripts qui viennent de chez moi ».

## À quoi servent-elles ?

- **Empêcher l'encadrement du site** (X-Frame-Options). Sans elle, un escroc peut afficher votre site dans le sien, sous un calque invisible, pour faire cliquer vos visiteurs là où il veut.
- **Limiter ce qui peut s'exécuter** (Content-Security-Policy). Si un pirate parvient à glisser un script dans une page, le navigateur refuse de le lancer.
- **Ne pas deviner le type des fichiers** (X-Content-Type-Options). Évite qu'un fichier banal soit interprété comme un programme.
- **Limiter ce que votre site dit aux autres** (Referrer-Policy). Quand un visiteur clique vers un autre site, celui-ci n'apprend pas quelle page exacte il consultait.

## Et les cookies ?

Un cookie de connexion est une petite clé qui garde vos clients connectés. Le bilan vérifie qu'il est protégé : envoyé uniquement en HTTPS (« Secure ») et illisible par les scripts de la page (« HttpOnly »). Sans ces protections, il est plus facile à voler.

## Est-ce grave si elles manquent ?

Ce n'est pas une faille en soi : c'est une ceinture de sécurité qui n'est pas attachée. Le bilan les classe « À améliorer ». Elles deviennent vraiment importantes si votre site a un espace client, un formulaire de paiement ou un accès administrateur.

## Que faire

Ces consignes s'ajoutent dans la configuration du serveur ou avec une extension de sécurité. C'est un travail d'une heure pour quelqu'un qui connaît, à tester ensuite page par page, car une consigne trop stricte peut bloquer un élément légitime du site.

---

Source : CT Web, https://ctweb.fr/guide/protections-du-navigateur
Vérifier un site gratuitement : https://ctweb.fr/ (agents IA : https://ctweb.fr/agents.md)