BAOI · ANALYSE-SECURITE
Analyse HTTP & sécurité web
Comprendre les en-têtes de sécurité HTTP
HSTS aide à imposer HTTPS, Content-Security-Policy limite les sources chargées et X-Content-Type-Options: nosniff réduit les confusions de type MIME.
Contrôles utiles
- Examinez l’URL HTTPS finale et ses redirections.
- Vérifiez CSP, HSTS, Referrer-Policy et la protection contre l’intégration non voulue.
- Testez les nouvelles politiques en préproduction avant activation.
Questions fréquentes
Ces en-têtes suffisent-ils à sécuriser un site ? Non : authentification, mises à jour et validation des données restent nécessaires.
Une CSP stricte peut-elle bloquer des fonctions ? Oui : contrôlez les violations et les ressources légitimes.
Exemple pratique : lire une analyse HTTP
Tester une URL publique précise
Saisissez l’URL HTTPS d’une page publique, par exemple https://example.com, puis lancez l’analyse. Le rapport JSON permet de conserver les informations renvoyées par le service pour cette URL. Pour comparer deux essais, utilisez le même chemin et notez le moment du test.
Interpréter le contexte de la réponse
Un statut ou un en-tête doit être lu avec l’URL, les redirections et le rôle de la page. Une réponse 401 ou 403 peut correspondre à une restriction d’accès ; une redirection peut conduire vers une autre page. La présence d’en-têtes de sécurité est un contrôle de configuration, pas une preuve de sécurité complète de l’application.
Valider une correction HTTP
- Comparer le rapport avant et après le changement, sur les pages réellement concernées.
- Tester les fonctions utiles dans un navigateur, notamment formulaires, authentification et ressources chargées.
- Pour CSP ou HSTS, préparer le changement et son retour arrière puis vérifier les effets sur les services concernés.
Références techniques : RFC 9110 — HTTP Semantics