Configurer les en-têtes de sécurité HTTP (HSTS, CSP)

En-têtes de sécurité

HSTS (HTTP Strict Transport Security)

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Force le navigateur à utiliser HTTPS pendant 1 an.

CSP (Content Security Policy)

Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' cdn.example.com"

Contrôle quelles ressources peuvent être chargées.

Autres en-têtes importants

Header set X-Content-Type-Options "nosniff"\nHeader set X-Frame-Options "SAMEORIGIN"\nHeader set X-XSS-Protection "1; mode=block"\nHeader set Referrer-Policy "strict-origin-when-cross-origin"

Ajout dans .htaccess

Ajoutez ces lignes dans votre fichier .htaccess à la racine du site.

Vérifier

Testez sur securityheaders.com.