HSTS et HTTPS
Strict-Transport-Security demande au navigateur d’utiliser HTTPS pour les visites futures. Il doit être activé seulement lorsque le domaine et ses ressources fonctionnent correctement en HTTPS.
- Forcez HTTPS avant d’ajouter HSTS.
- Choisissez max-age progressivement en production.
- N’ajoutez includeSubDomains que si tous les sous-domaines sont compatibles.
CSP et sources autorisées
Content-Security-Policy limite les sources de scripts, styles, images et autres ressources. Une CSP stricte demande souvent un travail d’inventaire avant mise en production.
- Commencez par recenser les sources réellement utilisées.
- Évitez unsafe-inline lorsque l’architecture permet de s’en passer.
- Testez la politique avant de bloquer des ressources critiques.
Headers complémentaires
X-Content-Type-Options: nosniff, Referrer-Policy et Permissions-Policy permettent de réduire certains comportements implicites du navigateur.
- Activez nosniff pour limiter l’interprétation MIME.
- Choisissez une politique de referrer adaptée aux besoins de mesure.
- Désactivez les fonctionnalités navigateur inutilisées avec Permissions-Policy.
Checklist pratique
- HTTPS fonctionne partout.
- HSTS activé avec prudence.
- CSP testée et adaptée aux ressources réelles.
- nosniff présent.
- Referrer-Policy et Permissions-Policy définies.
Continuer avec les ressources liées
Conclusion
Les headers de sécurité ont un bon rapport effort/bénéfice lorsque le site est déjà proprement configuré. Ils doivent cependant être testés, car une règle trop stricte peut casser des ressources légitimes.