Generer des En-tetes de Sécurité

Les en-tetes de sécurité HTTP sont votre première ligne de defense au niveau de la couche transport. Ils instruisent les navigateurs d'appliquer des politiques de sécurité avant le rendu de tout contenu de page. Sans les en-tetes adequats, votre site est vulnerable au clickjacking, aux attaques de MIME sniffing, aux attaques par retrogradation de protocole et aux fuites de données cross-origin. Ajouter les bons en-tetes prend quelques minutes mais bloque des classes entieres d'attaques automatiquement.

Strict-Transport-Security (HSTS) force les connexions HTTPS. X-Frame-Options empêche l'intégration en iframe. X-Content-Type-Options arrête le MIME sniffing. Referrer-Policy contrôle la quantité d'information URL partagee avec d'autres sites. Permissions-Policy restreint l'accès aux fonctionnalités du navigateur comme la camera, le microphone et la geolocalisation. Ensemble, ces en-tetes créént une basé de sécurité robuste pour toute application web.

Cross-Origin-Embedder-Policy (COEP) exige que les ressources accordent explicitement la permission d'être chargees. Cross-Origin-Opener-Policy (COOP) isole votre contexte de navigation des popups cross-origin. Cross-Origin-Resource-Policy (CORP) contrôle quelles origines peuvent intégrer vos ressources. Ces trois en-tetes fonctionnent ensemble pour activer des fonctionnalités puissantes comme SharedArrayBuffer tout en prevenant les attaques par canal lateral de classe Spectre.

Commencez par activer les en-tetes en mode rapport uniquement lorsque possible et surveillez les problèmes. Ajoutez les en-tetes de manière incrementale, en commencant par X-Content-Type-Options et X-Frame-Options qui causent rarement des problèmes. Puis ajoutez HSTS avec un court max-age avant de l'augmenter. Testez minutieusement avec les outils de développement du navigateur et les scanners en ligne. Vérifiez les en-tetes après chaque déploiement pour détecter les regressions.