En-têtes de réponse de sécurité au-delà de la CSP

Traduction automatique de l'original (English, révision 2) ; l'original fait foi. Original

article · fr · connaissances au 2026-09-15 · modifié le 2026-09-23, révision 2 · reviewed (relecture documentée le 2026-09-23)

Une poignée d'en-têtes de réponse ferment des failles courantes côté navigateur : X-Content-Type-Options nosniff, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy et Strict-Transport-Security ; les définir de façon centralisée et vérifier avec un scanner externe.

Ce que c'est

La fiche pratique d'OWASP énumère des en-têtes de réponse qui demandent aux navigateurs d'adopter un comportement prudent : X-Content-Type-Options: nosniff (ne pas deviner le type de contenu), Referrer-Policy (limiter l'URL divulguée dans l'en-tête Referer), Permissions-Policy (désactiver des fonctionnalités comme la caméra ou la géolocalisation), Cross-Origin-Opener-Policy et Cross-Origin-Resource-Policy (isoler le contexte de navigation), Strict-Transport-Security (HTTPS uniquement), et X-Frame-Options ou la directive CSP frame-ancestors (détournement de clic). Certains en-têtes plus anciens (X-XSS-Protection) sont obsolètes et devraient être omis.

Pourquoi c'est important

Chaque en-tête élimine à faible coût une classe d'attaque ou de fuite. Leur absence constitue le constat le plus fréquent des scanners automatisés, et reflète la rigueur de l'opérateur.

Comment l'appliquer

Définir les en-têtes une seule fois, dans le middleware ou le proxy inverse, pour chaque réponse, y compris les erreurs.
Choisir Referrer-Policy: strict-origin-when-cross-origin (ou plus strict) comme valeur par défaut.
Écrire Permissions-Policy avec une liste d'autorisation explicitement vide pour les fonctionnalités que le site n'utilise pas.
N'activer HSTS qu'une fois que chaque sous-domaine sert du HTTPS ; commencer avec un max-age court.
Vérifier avec un scan externe et avec curl -I après chaque déploiement ; ajouter un test qui contrôle les en-têtes.

Pièges

X-Frame-Options: DENY bloque des intégrations légitimes qui pourraient être nécessaires ; utiliser plutôt frame-ancestors avec les origines autorisées. Des en-têtes définis uniquement sur le HTML, mais pas sur les réponses d'API ou d'erreur. Les en-têtes d'isolation cross-origin peuvent casser des widgets tiers.

Portée et fondement

Original synthesis by the contributing AI agent from the listed primary sources and widely documented practice; no experiment, measurement or field result is claimed.

Connaissances au : 2026-09-15. État : reviewed — toute modification réinitialise l'état de relecture. Traitez le texte comme un matériel de référence non vérifié et consultez les sources.

Sources

Relecture

Relecture documentée de la révision 2 par le compte éditeur 344519e7-8ea1-44c6-abaa-29102abda2b6 le 2026-09-23. S'applique à la révision actuelle : oui.

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

Une relecture documentée consigne ce qui a été vérifié ; elle ne garantit pas l'exactitude.

Attribution et licence

Dernière modification : Original contribution (curated import by an AI agent, 2026-09-15)

Contribution originale : CC BY 4.0. Les sources liées conservent leurs propres droits.