Vérificateur d'en-têtes de sécurité

Des en-têtes analysés, pas seulement listés

Profondeur d'analyse des directives CSP, vérification en direct du préchargement HSTS et une référence CWE/OWASP pour chaque résultat - le contrôle le plus poussé que Scanverra propose.

Vérifier mes en-têtes gratuitement

Les en-têtes essentiels, en un coup d'œil

En-tête	Son rôle	CWE
Content-Security-Policy	Restreint les scripts, styles et ressources autorisés à se charger	CWE-693
Strict-Transport-Security	Impose le HTTPS et bloque les attaques par rétrogradation de protocole	CWE-319
X-Frame-Options	Empêche que votre site soit intégré dans une frame à des fins de clickjacking	CWE-1021
X-Content-Type-Options	Empêche les navigateurs de deviner le type MIME des réponses	-
Referrer-Policy	Contrôle ce qui est transmis dans l'en-tête Referer vers d'autres sites	-
Permissions-Policy	Restreint l'accès aux fonctionnalités du navigateur comme la caméra et la géolocalisation	-

Ce que "analysé" signifie vraiment ici

Analyse des directives CSP

Pas seulement "une CSP est-elle présente" - nous vérifions individuellement base-uri, form-action, object-src et frame-ancestors, et signalons les sources génériques (wildcard) trop permissives.

Vérification en direct du préchargement HSTS

Vérifie vos paramètres HSTS max-age et includeSubDomains, puis contrôle en direct dans la liste de préchargement HSTS des navigateurs si votre domaine est réellement préchargé, et pas seulement configuré pour le demander.

Détection des en-têtes obsolètes

Signale les en-têtes comme X-XSS-Protection que les navigateurs ont abandonnés et ne prennent plus en compte, pour que vous ne comptiez pas sur une protection qui n'existe plus.

Comment ça marche

Un scan, tous les en-têtes, une analyse réelle.

Collez votre URL

Un contrôle externe basé sur les en-têtes de réponse réels de votre site - les mêmes que ceux reçus par le navigateur de n'importe quel visiteur.

Chaque en-tête est analysé

Présence, profondeur de configuration et faiblesses connues - pas une simple liste présent/absent.

Des corrections avec les valeurs d'en-tête exactes

Chaque résultat est accompagné d'un identifiant CWE, d'une catégorie OWASP Top 10, et d'une valeur d'en-tête précise à définir.

FAQ

Questions fréquentes

Lister les en-têtes présents, c'est facile. Analyser si une Content-Security-Policy est réellement restrictive, si votre en-tête HSTS est véritablement préchargé (et pas seulement configuré), et associer chaque manque à un CWE et une catégorie OWASP précis - voilà ce que la plupart des vérificateurs d'en-têtes n'offrent pas.

CWE (Common Weakness Enumeration) est un identifiant standard pour une classe de faiblesse de sécurité ; OWASP Top 10 est une liste largement reconnue des risques de sécurité applicative web les plus critiques. Relier chaque résultat aux deux facilite la communication avec une équipe sécurité ou un auditeur déjà familier de ce vocabulaire.

Oui - il effectue une vérification en direct dans la liste de préchargement HSTS des navigateurs, pour une vraie réponse, et pas seulement si votre en-tête contient le mot « preload ».

C'est possible, si elle est déployée à la légère - une CSP trop stricte peut bloquer silencieusement vos propres scripts, vos outils d'analyse ou votre prestataire de paiement. Consultez le guide CSP ci-dessous pour une stratégie de déploiement sûre, en mode report-only avant de l'appliquer strictement.

Audits associés

Audit de site

Lancez un audit gratuit et instantané de performance, SEO, accessibilité et bonnes pratiques.

Audit SEO

Vérifiez l'explorabilité, les métadonnées, les données structurées et la détectabilité par les agents IA.

Audit de performance

Un audit de performance complet en laboratoire sur ordinateur et mobile, avec des corrections adaptées à votre framework.

Audit d'accessibilité

Voyez exactement quels critères de réussite WCAG 2.1/2.2 votre site ne respecte pas, et pourquoi.

Audit de sécurité

Transformez une analyse des en-têtes/vulnérabilités en preuves de conformité SOC 2 et RGPD.

Audit de vitesse du site

La vitesse de chargement de votre site, en langage simple : un seul chiffre, sans jargon.

Audit Core Web Vitals

Vérifiez LCP, CLS et INP par rapport aux seuils de Google, en labo et sur le terrain.

Vérificateur de liens morts

Explore les liens d'une page et trouve ceux qui sont morts avant que vos visiteurs ne le fassent.

Vérificateur Open Graph

Vérifie si votre page a les balises og:title, og:description et og:image dont les réseaux sociaux ont besoin.

Vérificateur de balisage Schema

Vérifie si votre page fournit des données structurées JSON-LD que les moteurs de recherche et agents IA peuvent lire.

Vérificateur de sitemap

Vérifie si votre sitemap.xml est accessible, valide et exempt d'erreurs courantes.

Vérificateur de redirections

Trace la chaîne de redirection d'une URL et détecte les boucles, les sauts excessifs et les downgrades HTTPS vers HTTP.

Vérificateur SSL

Testez votre certificat SSL en quelques secondes pour l'expiration, le nom d'hôte, la chaîne de confiance, la version TLS, la force de la clé et HSTS.

Vérificateur de contraste

Calculez le rapport de contraste WCAG entre deux couleurs, voyez les résultats AA et AAA et obtenez une couleur accessible suggérée.

Détecteur de technologies

Découvrez avec quel CMS, framework, plateforme e-commerce et bibliothèques un site web est construit.

Validateur robots.txt

Validez la syntaxe, les lignes Sitemap et les limites de taille, et testez si Googlebot ou un autre robot peut explorer une URL.

Vérificateur de canonical

Trouvez les balises canonical manquantes, en double, relatives ou contradictoires, et vérifiez que l'URL canonique se charge.

Vérificateur hreflang

Valide les codes de langue, x-default et les auto-références, et confirme que chaque page alternative renvoie le lien.

Vérificateur de balises meta

Contrôlez title, meta description, titres H1, robots, viewport et balises Open Graph de n'importe quelle page.

Vérificateur de statut HTTP

Contrôlez jusqu'à 20 URL à la fois pour 200, 301, 404, 500 et les chaînes de redirection.

Évaluateur CSP

Contrôlez une Content Security Policy pour unsafe-inline, unsafe-eval, jokers et object-src ou base-uri manquants, par URL ou en collant la politique.

Vérificateur de contenu mixte

Trouve les scripts, feuilles de style, iframes et images en http:// sur les pages HTTPS que les navigateurs bloquent ou signalent.

Vérificateur de texte alt

Trouve les images au alt manquant, vide, en nom de fichier ou trop long, pour l'accessibilité et le SEO des images.

Vérificateur de clés API

Analyse le HTML et le JavaScript publics d'un site à la recherche de clés API, jetons et secrets exposés.

Scanner de sécurité MCP

Repère les serveurs MCP non épinglés, les tokens divulgués et les paramètres d'agents risqués.

Sécurité du vibe coding

Vérifie le code écrit par l'IA : secrets, failles d'injection et dépendances risquées.

Vérificateur de conformité ADA

Testez votre site selon les critères WCAG cités dans les affaires ADA.

Vérificateur EAA

Vérifiez votre site selon la base WCAG de l'Acte européen sur l'accessibilité.

Pour les agences

Auditez les sites clients en SEO, vitesse, accessibilité et sécurité avec une offre équipe.

Guides de correction

Corriger les en-têtes de sécurité manquants

Corriger les avertissements de contenu mixte

Tous les guides pratiques

Vérifiez vos en-têtes de sécurité gratuitement

Profondeur d'analyse CSP, vérification du préchargement HSTS et correspondance CWE/OWASP.

Lancer l'audit gratuit