Voir les en-têtes HTTP d'un site

Chaque fois que tu demandes une page, le serveur répond par un code de statut (200, 301, 404…) et une liste d'en-têtes avant le contenu. Les en-têtes ne se voient pas sur la page, mais ils décident de beaucoup de choses : le type de contenu, la durée de mise en cache, les cookies, la compression, les redirections et les règles de sécurité que le navigateur doit appliquer.

Les examiner sert à déboguer des redirections, vérifier le cache d'un CDN, confirmer qu'un site impose HTTPS ou auditer sa sécurité.

• 200 OK : la page existe et est servie.
• 301 Moved Permanently : redirection permanente. C'est la bonne pour le SEO quand une URL change, car elle transmet son référencement.
• 302 Found et 307 Temporary Redirect : redirections temporaires. Les moteurs de recherche gardent l'URL d'origine.
• 308 Permanent Redirect : comme la 301, mais en conservant la méthode (un POST reste un POST).
• 403 Forbidden : le serveur refuse de la servir (parfois parce qu'il bloque les robots).
• 404 Not Found : elle n'existe pas.
• 500 et 503 : erreur du serveur ou service indisponible.

Une bonne configuration fait une seule redirection de http://example.com vers https://www.example.com (ou l'inverse), pas une chaîne de plusieurs.

• Strict-Transport-Security (HSTS) : impose HTTPS pendant la durée indiquée. Valeur typique : max-age=31536000; includeSubDomains.
• Content-Security-Policy : liste des origines autorisées pour les scripts et ressources. C'est le plus puissant et le plus délicat à configurer ; commence avec Content-Security-Policy-Report-Only.
• X-Content-Type-Options : nosniff.
• X-Frame-Options : DENY ou SAMEORIGIN (ou frame-ancestors dans la CSP).
• Referrer-Policy : strict-origin-when-cross-origin est un bon équilibre.
• Permissions-Policy : désactive ce que tu n'utilises pas, par exemple camera=(), microphone=(), geolocation=().

Il vaut aussi mieux masquer Server et X-Powered-By, qui ne font que donner des indices à un attaquant.

Nous demandons la page depuis notre serveur avec une requête GET normale, lisons uniquement les en-têtes (nous ne téléchargeons pas le contenu) et suivons jusqu'à cinq redirections. Par sécurité, nous n'interrogeons que des adresses publiques sur les ports 80, 443, 8080 et 8443, jamais un réseau interne.

Garde en tête que certains serveurs répondent différemment selon qui demande : un CDN peut renvoyer un autre cache selon le pays, et certains sites bloquent les requêtes automatiques avec un 403. Si quelque chose te semble étrange, compare avec l'onglet Réseau des outils de développement de ton navigateur.