Les en-têtes HTTP de sécurité à connaître

itsnovaa – 2026-11-07

Quelques en-têtes simples renforcent beaucoup un site : Content-Security-Policy : limite d’où le navigateur peut charger scripts et ressources, et réduit l’impact d’un XSS. Strict-Transport-Security (HSTS) : force le HTTPS pour les visites suivantes. X-Content-Type-Options: nosniff : empêche le navigateur de deviner le type d’un fichier. X-Frame-Options ou frame-ancestors : empêche l’affichage de votre site dans une iframe (clickjacking). Referrer-Policy : contrôle les informations envoyées dans l’en-tête Referer. Vous pouvez tester un site avec l’outil gratuit Security Headers (securityheaders.com) ou l’observatoire MDN.