Conseils pratiques pour l’assistance technique
Comprendre une vérification publique de sécurité web
Appuyez-vous sur des observations pour choisir la prochaine vérification. Un badge d’en-tête vert ne prouve pas la sécurité de tout un site.
Dernière vérification :
Ce que nous pouvons observer
Le vérificateur de sécurité web lit une réponse publique et les instructions d’exploration du site. Il examine la connexion finale, certains en-têtes HTTP et un nombre limité de références de ressources et d’actions de formulaire dans le HTML reçu. Il ne se connecte pas à un compte, n’envoie pas de formulaire, n’exécute pas les scripts du site et ne tente pas d’exploitation.
HTTPS est un élément nécessaire, pas un verdict de sécurité
Un certificat vérifié aide à établir une connexion chiffrée vers le nom d’hôte demandé. Un site malveillant peut aussi utiliser HTTPS. Notre vérification n’audite pas la configuration TLS pour tous les protocoles, ne juge pas l’honnêteté de l’exploitant et n’inspecte pas les données privées de l’application.
HSTS est une instruction distincte qui demande au navigateur de privilégier HTTPS après réception de la politique. Assurez d’abord le fonctionnement de HTTPS avant de définir une longue durée HSTS. Inclure les sous-domaines ou demander le préchargement peut affecter d’autres services : ne copiez pas une politique sans vérifier son périmètre.
Reliez chaque contrôle à son objectif
| Contrôle | Question utile |
|---|---|
| Politique de sécurité du contenu | La politique limite-t-elle les sources à celles réellement nécessaires ? Sa présence ne suffit pas à prouver qu’elle bloque l’attaque concernée. |
| Restrictions d’intégration dans un cadre | Cette page doit-elle être intégrable ? Examinez CSP frame-ancestors et l’éventuel en-tête X-Frame-Options selon cet objectif. |
| nosniff | Les ressources sont-elles fournies avec le bon type et une instruction adaptée contre la détection heuristique MIME ? |
| Politique de référent | Quelles informations d’URL la destination doit-elle recevoir ? Les valeurs par défaut du navigateur, les métadonnées et les liens individuels comptent aussi. |
| Politique d’autorisations | De quelles fonctions du navigateur cette page a-t-elle besoin ? Un outil de caméra doit conserver les autorisations nécessaires à son fonctionnement. |
Vérifiez les résultats de contenu mixte dans un navigateur
Une image HTTP ou une destination de formulaire HTTP dans un document HTTPS mérite examen. Le navigateur peut mettre à niveau ou bloquer certaines requêtes. Notre outil ne les récupère pas, ne suit pas leurs redirections, n’inspecte pas le CSS et n’exécute pas les requêtes créées par script. Utilisez les outils de développement de votre page pour vérifier le comportement réel, puis testez les parcours importants.
Pourquoi nous ne pouvons pas certifier les correctifs logiciels
Une valeur publique Server ou X-Powered-By est une déclaration. Elle peut être masquée, modifiée, fournie par un proxy ou conservée après un rétroportage. La masquer réduit les informations révélées, mais ne corrige pas le logiciel. Pour évaluer un avis PHP ou d’extension, vérifiez le paquet installé, la configuration et les consignes du fournisseur avec l’hébergeur ou l’administrateur. Une page publique générique ne prouve pas qu’une vulnérabilité précise est présente ou corrigée.
Procédez aux modifications de manière maîtrisée
- Vérifiez que la réponse correspond à la page souhaitée, pas à un contrôle anti-robots ou à un écran d’erreur.
- Examinez chaque observation selon l’objectif de la page.
- Effectuez une seule modification en environnement de test, puis vérifiez la navigation, les formulaires, les médias et les intégrations externes.
- Examinez si pertinent les rapports CSP avant d’imposer une politique plus stricte.
- Consignez la modification et refaites le test. Gardez la gestion des correctifs, les sauvegardes et la sécurité des comptes comme responsabilités distinctes.
L’outil signale les lectures incomplètes et ne donne pas de score global « sûr ». Une réponse publique sans anomalie peut coexister avec des défauts applicatifs privés ; l’absence d’un en-tête facultatif n’est pas automatiquement une vulnérabilité.
Références techniques : le guide CSP de MDN, HSTS, nosniff et restrictions d’intégration dans un cadre.