HTTP et en-têtes de sécurité

Quelques lignes de configuration, beaucoup de protection.

Une requête HTTP

GET /articles/csp-pas-a-pas HTTP/1.1
Host: devblog.example
Accept: text/html

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Security-Policy: default-src 'self'

Les en-têtes de réponse donnent des consignes au navigateur.

Les statuts à connaître

Un « soft 404 » renvoie une page d'erreur avec un statut 200 : à éviter.

Content-Security-Policy

Liste les origines autorisées pour scripts, images, polices…

default-src 'self'; object-src 'none'; frame-ancestors 'none'

Limite l'impact d'une injection XSS.

Strict-Transport-Security

Force le navigateur à n'utiliser que HTTPS.

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

Protège contre le downgrade vers HTTP.

Anti-clickjacking

X-Frame-Options: DENY
Content-Security-Policy: frame-ancestors 'none'

Votre page ne peut pas être affichée dans une iframe d'un autre site.

Autres en-têtes utiles

Vérifier

curl -sI https://votre-site.example

Et un test automatisé qui contrôle chaque en-tête à chaque build.

À retenir

1. Les en-têtes sont une défense en profondeur
2. Commencez par CSP, HSTS et nosniff
3. Vérifiez-les automatiquement