🛡️ J'ai construit un analyseur d'en-tête HTTP gratuit – et la plupart des sites obtiennent un F

Il y a quelques mois, j'examinais la configuration Nginx d'un projet parallèle et j'ai décidé de l'exécuter via un scanner d'en-têtes de sécurité. J'ai collé les en-têtes de réponse dans un outil en ligne populaire, j'ai appuyé sur Entrée et j'ai attendu.

Note F. 12/100.

J'étais abasourdi. J'avais HTTPS, un certificat valide et une pile moderne. Mais il me manquait tous les en-têtes de sécurité critiques. Pas de HSTS, pas de CSP, pas d'options X-Frame. Mon site était une cible facile pour les attaques de détournement de clics, de XSS et de déclassement de protocole, et je ne le savais même pas.

Cette expérience m'a amené à créer DevToolbox H...
[Courte citation de 8% de l'article original]