En-têtes de sécurité

Les en-têtes de sécurité sont des en-têtes de réponse HTTP que votre serveur web envoie au navigateur d'un visiteur. Ils contiennent des instructions sur la manière dont le navigateur doit interagir avec le contenu de votre site web afin de prévenir les attaques telles que les scripts intersites(XSS), le détournement de clics et les attaques de type "man-in-the-middle". En pratique, ils fonctionnent comme un ensemble de règles de sécurité que vous activez au niveau du serveur, sans avoir à modifier le code de votre site internet. Pour les PME disposant d'une boutique en ligne, d'un portail client ou d'un site WordPress, les en-têtes de sécurité constituent l'un des moyens les plus efficaces et les plus accessibles pour renforcer la sécurité.

Fonctionnement technique des en-têtes de sécurité

Chaque fois qu'un navigateur demande une page de votre site internet, votre serveur web renvoie une réponse HTTP. Cette réponse se compose du contenu visible (HTML, CSS, images) et d'une série d'en-têtes contenant des métadonnées. Les en-têtes de sécurité sont des instructions spécifiques au sein de ces métadonnées. Par exemple, un en-tête tel que Content-Security-Policy indique au navigateur quels scripts, images et feuilles de style il peut ou ne peut pas charger. X-Frame-Options empêche votre site de se charger dans un iframe sur un autre site internet, ce qui prévient le détournement de clics. Strict-Transport-Security applique le protocole HTTPS même si un utilisateur suit accidentellement un lien HTTP. Ces en-têtes sont interprétés par les navigateurs modernes et fonctionnent donc à l'insu des visiteurs.

Pourquoi les en-têtes de sécurité sont apparus et pourquoi ils sont cruciaux aujourd'hui

Les en-têtes de sécurité ont été développés au début des années 2000 en réponse à des attaques à grande échelle dans lesquelles des acteurs malveillants exploitaient la manière dont les navigateurs traitaient le contenu externe. Les scripts intersites, par lesquels les attaquants injectent des scripts dans votre site, étaient l'une des vulnérabilités les plus courantes. Dans un premier temps, les navigateurs exécutaient tout code qu'ils rencontraient, sans regarder la source d'un œil critique. Avec l'introduction d'en-têtes tels que Content-Security-Policy et X-XSS-Protection, les propriétaires de sites web ont eu pour la première fois la possibilité de limiter ce comportement par défaut. Selon la spécification W3C Content Security Policy Level 3, ces en-têtes font désormais partie de la norme web. Dans la pratique, les sites internet dépourvus d'en-têtes de sécurité sont plus vulnérables au vol de données, à l'hameçonnage et aux atteintes à la réputation.

Ce que les en-têtes de sécurité apportent aux PME

Pour une boutique en ligne ou un prestataire de services néerlandais disposant d’un portail client, les en-têtes de sécurité réduisent directement le risque de fuites de données et d’attaques. Une boutique en ligne qui traite des données à caractère personnel et des données de paiement doit se conformer aux obligations du RGPD en matière de sécurité. Les en-têtes de sécurité font partie des mesures techniques que vous pouvez mettre en avant lors d’un audit. De plus, les moteurs de recherche tels que Google accordent un meilleur classement aux sites dotés d’une configuration de sécurité solide, car ils sont plus sûrs pour les utilisateurs. Dans un environnement d’hébergement WordPress bien configuré, les en-têtes de sécurité sont activés par défaut au niveau du serveur, ce qui vous évite, en tant qu’entrepreneur, d’avoir à manipuler vous-même les fichiers .htaccess. Vous bénéficiez ainsi d’un site mieux protégé contre les attaques, sans pour autant sacrifier la vitesse ou la convivialité.

Les en-têtes de sécurité ne sont pas réservés aux grandes plateformes ou aux banques. Une boutique en ligne de PME avec 500 produits ou un prestataire de services B2B avec un portail client bénéficient aussi directement de cette technique. Vous trouverez ci-dessous des informations sur la manière de déployer les en-têtes de sécurité dans la pratique et sur les en-têtes les plus pertinents pour les entreprises néerlandaises.

Protection contre le cross-site scripting dans les boutiques en ligne et les formulaires

Le cross-site scripting (XSS) est une attaque par laquelle un pirate informatique injecte des scripts malveillants sur votre site internet, par exemple via un formulaire de contact ou un champ d'évaluation de produit mal protégé. Ces scripts peuvent voler des données de connexion ou rediriger les visiteurs vers des pages de phishing. L'en-tête Content-Security-Policy (CSP) permet d'éviter cela en indiquant au navigateur les scripts qu'il peut exécuter. Par exemple, vous pouvez faire en sorte que seuls les scripts de votre propre domaine et de Google Analytics soient autorisés à s'exécuter. Pour une boutique en ligne sur WooCommerce ou Shopify, cela signifie que vos formulaires et flux de paiement sont mieux protégés. Dans la pratique, nous constatons dans les projets de développement de boutiques en ligne qu'un CSP strict entre parfois en conflit avec des extensions externes ou des scripts de suivi. Par conséquent, réglez votre CSP en mode rapport uniquement pendant la phase de test, afin que vous puissiez voir quels scripts sont bloqués sans endommager votre site.

Prévenir le détournement de clics dans les portails clients et les pages de connexion

Le clickjacking est une technique d'attaque par laquelle un pirate informatique charge votre page de connexion dans un iframe invisible sur un autre site. Les visiteurs pensent se connecter à votre site, mais cliquent en réalité sur des boutons placés par le pirate. L'en-tête X-Frame-Options permet d'éviter cela en interdisant aux navigateurs de charger vos pages dans une iframe. Pour une PME disposant d'un portail client, d'un environnement de facturation en ligne ou d'une plateforme B2B, c'est essentiel. Vous définissez X-Frame-Options sur DENY (pas d'iframes du tout) ou SAMEORIGIN (uniquement des iframes de votre propre domaine). Une alternative est la directive frame-ancestors dans Content-Security-Policy, qui offre plus de flexibilité. Dans un environnement de développement web bien sécurisé, ces en-têtes sont inclus par défaut, de sorte que vos pages de connexion ne peuvent pas être utilisées de manière abusive.

Renforcer les connexions HTTPS avec Strict Transport Security

Strict-Transport-Security (HSTS) est un en-tête qui oblige les navigateurs à communiquer avec votre site uniquement via HTTPS, même si un utilisateur suit accidentellement un lien HTTP. Cela permet d'éviter les attaques de type "man-in-the-middle", où un pirate se place entre l'utilisateur et votre serveur pour intercepter des données. Pour une boutique en ligne ou un prestataire de services traitant des données personnelles, HSTS est une exigence stricte de l'Autorité des données personnelles. Vous définissez HSTS avec une valeur d'âge maximum (par exemple un an) et, en option, la directive includeSubDomains si vous souhaitez également protéger les sous-domaines. Remarque : HSTS est irréversible pendant la durée de la période maximale. Si vous désactivez HTTPS ultérieurement, les visiteurs ne pourront plus accéder à votre site. Par conséquent, testez d'abord avec une valeur max-age courte avant d'activer l'en-tête de manière permanente.

Quand les en-têtes de sécurité sont le bon choix et quand ils ne le sont pas

Les en-têtes de sécurité ont presque toujours un sens, mais la configuration varie d'une situation à l'autre. Pour un site internet statique sans formulaires ni fonctionnalité de connexion, des en-têtes de base tels que X-Content-Type-Options et Referrer-Policy suffisent. Pour une boutique en ligne ou un portail client, vous avez besoin d'une Content-Security-Policy stricte et de HSTS. Les en-têtes de sécurité ne remplacent pas les autres mesures de sécurité telles que les mises à jour régulières, les mots de passe forts et l'authentification à deux facteurs. Ils fonctionnent mieux dans le cadre d'une stratégie de sécurité plus large. Si votre site dépend de nombreux scripts externes (réseaux publicitaires, chatbots, outils de test A/B), une CSP trop stricte peut entraîner un dysfonctionnement. Dans ce cas, réglez la CSP progressivement et surveillez les erreurs de la console dans votre navigateur pour voir quelles sources sont bloquées.