Comment utiliser l’analyseur des en-têtes de sécurité
- Saisissez une URL publiqueTapez l’adresse complète, avec https://, dans URL publique.
- Lancez l’analyseCliquez sur Lancer ; le serveur GigaTools interroge alors la page en direct.
- Corrigez les en-têtes manquantsLe résultat indique combien des six en-têtes sont présents et contre quoi chaque en-tête manquant protégerait.
Utilisations courantes
- Vérifier un site après un changement de serveur ou de CDN
- Confirmer que HSTS est en place avant une mise en ligne
- Faire un audit rapide du durcissement de base du site d’un client
Questions fréquentes
Comment utiliser l’analyseur des en-têtes de sécurité ?
1. Saisissez une URL publique: Tapez l’adresse complète, avec https://, dans URL publique. 2. Lancez l’analyse: Cliquez sur Lancer ; le serveur GigaTools interroge alors la page en direct. 3. Corrigez les en-têtes manquants: Le résultat indique combien des six en-têtes sont présents et contre quoi chaque en-tête manquant protégerait.
Quels en-têtes sont vérifiés ?
Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy et Permissions-Policy.
Vérifie-t-il les valeurs des en-têtes ?
Non. Il indique seulement si chaque en-tête est présent. Une politique faible ou mal configurée compte quand même comme présente : vérifiez les valeurs vous-même.
Une requête en direct est-elle effectuée ?
Oui. Chaque analyse envoie une nouvelle requête HTTP HEAD depuis le serveur GigaTools : le résultat reflète donc le site à cet instant. Les redirections sont suivies, seuls les en-têtes de la réponse finale comptent et le résultat indique l’URL vérifiée. Les serveurs qui répondent différemment à HEAD qu’à un chargement normal peuvent afficher d’autres en-têtes.
Qu’est-ce qui est envoyé et conservé ?
L’URL est transmise au serveur GigaTools, qui interroge cette adresse. Seules les adresses publiques sur les ports standard 80 et 443 sont acceptées, et chaque redirection est contrôlée de la même façon avant d’être suivie. Une limite d’utilisation quotidienne s’applique et l’URL n’est pas enregistrée.