Vérificateur d'en-têtes de sécurité gratuit
Notez les en-têtes de sécurité que votre site envoie avec chaque page.
Sans inscription. Nous ne stockons ni ne journalisons les domaines que vous vérifiez.
Vérification du domaine...
C'est un signal. Votre site en a d'autres.
Le Bilan de santé du site couvre l'ensemble : scores de vitesse Google Lighthouse plus DNS, SSL, authentification e-mail et accès des IA, dans un seul rapport.
Lancer le Bilan de santé du siteComment ça marche
Nous chargeons la page d'accueil du site en HTTPS et notons les en-têtes de sécurité de la réponse finale : Strict-Transport-Security, Content-Security-Policy, X-Frame-Options (ou son remplaçant dans la CSP), X-Content-Type-Options, Referrer-Policy et Permissions-Policy — chacun avec une explication en langage clair de ce qu'il protège.
Quand l'utiliser
Après un changement d'hébergeur ou de CDN, la configuration des en-têtes survivant rarement à une migration, et après toute revue de sécurité qui signale un en-tête manquant. La plupart se corrigent en une ligne une fois qu'on sait qu'ils manquent.
Questions fréquentes
Quels en-têtes cet outil note-t-il ?
Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options ou son remplaçant moderne dans la CSP, X-Content-Type-Options, Referrer-Policy et Permissions-Policy — les six qui couvrent l'essentiel de ce que les navigateurs peuvent imposer pour vous.
Plusieurs en-têtes manquent sur mon site. C'est grave ?
Des en-têtes manquants sont des lacunes de durcissement, pas des brèches. Chacun ferme une classe précise d'attaque, et la plupart tiennent en une ligne de configuration chez votre hébergeur ou CDN. Commencez par HSTS et X-Content-Type-Options — les gains faciles — et traitez la Content-Security-Policy comme un projet, pas comme un interrupteur.
Pourquoi vérifier les en-têtes si mon site a déjà SSL ?
SSL chiffre la connexion ; les en-têtes contrôlent ce que les navigateurs autorisent une fois la page arrivée — si un autre site peut l'encadrer, d'où les scripts peuvent se charger, ce qui fuit dans les données de référence. Ce sont des couches complémentaires.
Vérifiez tout d'un coup
Un rapport couvrant vitesse, DNS, SSL, authentification e-mail et accès des IA — les signaux qui décident si les visiteurs, les moteurs de recherche et les assistants IA font confiance à votre site.
Lancer le Bilan de santé du site