Vérificateur de certificat et d’en-têtes de sécurité
Le certificat d’un site est-il valide, et pour combien de temps ? Force-t-il HTTPS ? Envoie-t-il les en-têtes qui protègent ses visiteurs ? Un coup d’œil, une note, et ce qu’il faut changer.
Nous demandons la page d’accueil depuis nos serveurs, comme un navigateur (en HTTP, puis en HTTPS en suivant jusqu’à trois redirections), et rien d’autre.
Questions
Pourquoi une note ?
Elle résume les constats ci-dessous : un certificat cassé ou un site sans HTTPS coûte beaucoup, un en-tête manquant un peu. C’est un repère, pas une certification.
Quels en-têtes comptent le plus ?
HSTS (toujours HTTPS), Content-Security-Policy (ce que la page peut charger et exécuter), la protection contre l’affichage dans un cadre, et nosniff. La plupart des hébergeurs et des CDN permettent de les ajouter dans leurs réglages.
Conservez-vous quelque chose ?
Le résultat est gardé dix minutes pour ne pas redemander le même site encore et encore, puis oublié. Votre adresse ne sert qu’à limiter les abus.