Votre site protège-t-il vraiment ses visiteurs, sans que vous le sachiez ?

C’est une information que votre serveur ajoute automatiquement à chaque réponse envoyée à un navigateur. Certains de ces en-têtes indiquent au navigateur comment se comporter pour mieux protéger votre visiteur : bloquer certains scripts, refuser d’être affiché sur un autre site, forcer une connexion chiffrée, etc.

Le score ne mesure pas si votre site fonctionne, mais si ses en-têtes de sécurité sont présents et bien configurés. Un site parfaitement fonctionnel peut très bien n’avoir mis en place aucune de ces protections, simplement parce qu’elles ne sont pas activées par défaut sur la plupart des hébergements.

Pas automatiquement. L’absence d’un en-tête est une protection en moins, pas une preuve de faille. C’est une couche de défense supplémentaire : plus vous en activez, plus vous réduisez certains risques, sans que cela garantisse ni n’exclue quoi que ce soit à elle seule.

Non, jamais. L’analyse se contente de lire les en-têtes déjà renvoyés publiquement par votre serveur, comme le ferait n’importe quel navigateur. Aucune modification, aucune installation, aucun accès à votre hébergement.

Vert signifie que la protection est présente et correctement configurée. Orange signifie qu’elle est présente mais perfectible (une valeur trop permissive, par exemple). Rouge signifie qu’elle est absente ou mal configurée sur un point important. La couleur est toujours accompagnée d’un texte explicite.

Non. Nous classons les problèmes par ordre de priorité pour que vous sachiez par où commencer. Chaque changement doit rester testé avant d’être mis en production, en particulier pour les en-têtes les plus stricts comme la Content-Security-Policy.