Headers de sécurité HTTP : la protection invisible que 90% des sites oublient
CSP, HSTS, X-Frame-Options : 6 lignes de config qui bloquent 80% des attaques courantes. La plupart des sites TPE n'en ont aucune.
Vous pensez que la sécurité web, c'est l'affaire des banques et des grands groupes ? Mauvaise nouvelle : 43% des cyberattaques visent les PME (rapport Verizon DBIR 2025), et la majorité exploitent l'absence de configuration HTTP basique. Six headers, dix minutes de config, 80% des attaques bloquées.
Content-Security-Policy (CSP) — le bouclier anti-injection
Le header le plus puissant et le plus négligé. Il dit au navigateur : "n'exécute du code QUE depuis ces sources de confiance". Une faille XSS (injection de script) devient inoffensive parce que le navigateur refuse d'exécuter le script malveillant. Sur un site WordPress non protégé, un commentaire peut littéralement voler les cookies de session de vos visiteurs.
Strict-Transport-Security (HSTS) — le verrou HTTPS
Force le navigateur à ne JAMAIS revenir en HTTP, même si l'utilisateur tape l'URL en http://. Bloque les attaques de type "SSL stripping" en café/hôtel où un attaquant Wi-Fi intercepte la connexion. Une ligne à ajouter : Strict-Transport-Security max-age=31536000 includeSubDomains.
X-Frame-Options / frame-ancestors — anti-clickjacking
Empêche que votre site soit chargé dans une iframe sur un site pirate qui superpose des boutons invisibles. Sans ce header, un attaquant peut faire cliquer vos utilisateurs sur "Supprimer mon compte" en leur faisant croire qu'ils cliquent sur "Voir la vidéo".
X-Content-Type-Options: nosniff
Empêche le navigateur d'interpréter un fichier .jpg comme du JavaScript. Bloque une classe entière d'attaques par "MIME confusion". Aucun inconvénient à l'activer, et pourtant moins de 30% des sites français le font.
Referrer-Policy & Permissions-Policy
Le premier contrôle ce que votre site révèle aux sites externes quand un utilisateur clique sur un lien sortant (utile pour le RGPD). Le second désactive les API sensibles inutiles (caméra, micro, géolocalisation, FLoC) — protection vie privée et score Lighthouse en hausse.
Comment vérifier en 30 secondes
Allez sur securityheaders.com ou utilisez notre scanner gratuit. Note F ? Vous êtes vulnérable. Note A ? Vous êtes dans le top 5% des sites français. Le passage F vers A se fait en 1h pour un dev, via la config Nginx/Apache, Cloudflare ou des balises meta http-equiv directement dans le HTML pour les cas simples.