En-tête de sécurité manquant

Pourquoi c'est important

Quelques lignes dans la réponse indiquent au navigateur ce qui est autorisé : ne pas intégrer le site dans une page étrangère, ne pas deviner les types de fichiers, ne pas tout transmettre à d'autres sites. Sans elles, un site est plus facile à détourner, par exemple pour du clickjacking.

Comment Snaglist le vérifie

Ceci fait partie de la vérification de sécurité, une vérification distincte à côté du crawl, dans Studio et Bureau, et uniquement sur un site que vous avez vérifié. Snaglist examine uniquement ce qu'un visiteur peut voir de l'extérieur. Il ne se connecte jamais, ne devine pas de mots de passe et n'envoie pas d'attaques. Il lit les en-têtes de réponse de la page d'accueil et vérifie cinq d'entre eux : X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Content-Security-Policy et Permissions-Policy. Chaque en-tête manquant est listé.

Causes fréquentes

• L'hébergeur ou le serveur ne les définit pas par défaut
• Aucun plugin de sécurité ou règle serveur ne les ajoute
• Une Content-Security-Policy a été omise car plus difficile à configurer

Comment le corriger

1. Commencez par X-Content-Type-Options, X-Frame-Options et Referrer-Policy. Ils cassent rarement quelque chose.
2. Définissez-les dans les paramètres du serveur, dans .htaccess ou avec un plugin de sécurité.
3. Testez d'abord une Content-Security-Policy en mode report-only.
4. Relancez la vérification de sécurité pour confirmer.

Présentation dans le rapport

Dans le rapport pour votre client, ceci apparaît sous le titre « Votre site manque de quelques protections standard ». Lorsque tout est en ordre, le rapport indique : « Les en-têtes de sécurité standard sont en place ».