Un sujet très recherché, très peu cliqué

C’est un constat qu’on observe régulièrement en analysant nos propres statistiques de référencement : certaines pages très bien positionnées sur des requêtes comme « security headers » ou « header security » ne génèrent presque aucun clic. À première vue, c’est contre-intuitif. En creusant, l’explication est simple : ceux qui tapent cette requête ne cherchent pas à comprendre le concept, ils veulent vérifier tout de suite si LEUR site est concerné. Un résultat qui promet une explication théorique perd face à un outil qui donne une réponse immédiate.

C’est quoi, un security header ?

Un en-tête de sécurité HTTP est une instruction envoyée par le serveur à chaque réponse, avant même le contenu de la page, pour dire au navigateur comment se comporter. Contrairement au contenu visible, ces en-têtes sont invisibles pour le visiteur mais parfaitement lisibles par les outils d’analyse, y compris ceux des attaquants qui scannent le web à la recherche de sites mal configurés.

Les cinq headers à vérifier en priorité

1. Content-Security-Policy : limite les sources de scripts, styles et ressources autorisées à s’exécuter sur la page, ce qui bloque une grande partie des tentatives d’injection de code malveillant.
2. Strict-Transport-Security : force le navigateur à toujours utiliser la version HTTPS du site, même si un lien pointe vers la version non sécurisée.
3. X-Frame-Options : empêche que votre site soit chargé dans un cadre invisible sur un autre site, une technique utilisée pour piéger les visiteurs à leur insu.
4. X-Content-Type-Options : empêche le navigateur de deviner le type d’un fichier, ce qui bloque certains détournements de format.
5. Referrer-Policy : contrôle les informations transmises aux sites tiers lorsqu’un visiteur clique sur un lien sortant.

Ce qu’on voit chez nos clients

Sur la très grande majorité des audits que nous réalisons, aucun de ces en-têtes n’est configuré. Ce n’est presque jamais un choix délibéré : c’est un réglage qui n’a simplement jamais été abordé lors de la création du site. La bonne nouvelle, c’est que la correction est rapide une fois identifiée, quelques lignes de configuration côté serveur ou un plugin dédié selon le CMS utilisé. Nous détaillons la configuration complète sur notre page headers HTTP, et le sujet plus large de la sécurisation d’un site dans notre guide Sécuriser son site web en 2026.

Vérifiez le vôtre

Notre diagnostic gratuit vous dit en quelques minutes lesquels de ces en-têtes manquent sur votre site, sans engagement.