Accueil › Repères › Les en-têtes de sécurité : cinq lignes de configuration, et un point de note

Les en-têtes de sécurité : cinq lignes de configuration, et un point de note

C'est le critère le plus fréquemment en défaut de notre note, et le moins coûteux à corriger. Ce que chaque en-tête protège, et la ligne exacte à faire poser.

21 mai 2026 contient une mesure de ce site

Parmi les cinq critères de notre note des sites communaux, celui-ci est le plus technique et le plus simple à corriger : il ne demande aucune modification du site, seulement quelques lignes dans la configuration du serveur.

Ce qu’un en-tête de sécurité fait

C’est une instruction que le serveur envoie au navigateur avec chaque page, et qui lui dit comment se comporter. Elles sont invisibles pour le visiteur et elles bloquent des catégories entières d’attaques.

Les principales, et ce qu’elles protègent

Le transport strictement sécurisé. Elle dit au navigateur de ne plus jamais accéder au site en clair, même si un lien le propose. Elle protège contre l’interception sur un réseau partagé.

Le refus de deviner le type de contenu. Elle empêche le navigateur de réinterpréter un fichier autrement que ce que le serveur annonce, ce qui bloque une famille d’attaques par fichier déposé.

Le contrôle de l’affichage dans un cadre. Elle empêche qu’un autre site affiche vos pages dans un cadre invisible pour faire cliquer vos visiteurs à leur insu.

La politique de référent. Elle limite ce que votre site transmet au site suivant quand un visiteur clique sur un lien sortant. Sans elle, l’adresse complète de la page consultée part chez le tiers, y compris quand cette page est révélatrice.

La politique de sécurité du contenu. La plus puissante et la plus délicate à poser : elle liste ce que la page a le droit de charger. Mal réglée, elle casse le site ; bien réglée, elle rend inopérante la majorité des injections de script.

Pourquoi c’est le critère le plus souvent manquant

Parce que personne n’en est responsable. Le prestataire qui a fait le site s’occupe du site ; l’hébergeur s’occupe de l’hébergement ; les en-têtes sont entre les deux.

Et parce qu’aucun visiteur ne s’en plaint : leur absence est invisible jusqu’à l’incident.

Ce qu’un secrétaire de mairie peut demander

Une phrase suffit, adressée au prestataire ou à l’hébergeur :

« Merci d’activer sur notre site les en-têtes de sécurité recommandés : transport strictement sécurisé, refus de deviner le type de contenu, contrôle de l’affichage dans un cadre, politique de référent restrictive, et si possible une politique de sécurité du contenu. »

C’est une demande standard, tout prestataire sait la traiter, et cela prend une demi-heure. Les quatre premières ne présentent aucun risque de casser le site.

Comment vérifier

Plusieurs services publics et gratuits analysent les en-têtes d’une adresse et rendent une note détaillée. Le résultat est immédiat et il liste exactement ce qui manque.

C’est aussi ce que fait notre relevé : sur 22 151 sites relevés le 6 septembre 2026, 21 417 ont été notés, et chaque point retiré est affiché avec son motif sur la fiche de la commune.

Ce que cela ne remplace pas

Les en-têtes ne sécurisent pas un gestionnaire de contenu obsolète, ni un mot de passe faible, ni une extension abandonnée. Ce sont les trois causes réelles de la plupart des compromissions de sites de collectivités.

Les en-têtes sont la couche la plus facile. Les mises à jour sont la plus importante, et elles demandent une attention continue plutôt qu’une demi-heure.