Headers HTTP de sécurité : le guide complet pour un site web protégé en 2026

En bref : les headers HTTP de sécurité sont une défense passive contre 80 % des attaques web automatisées (XSS, clickjacking, sniffing, injection de contenu). Leur configuration prend 30 minutes. Leur absence est un motif d'affaiblissement en cas de contrôle CNIL suite à une fuite. Voici les 7 headers essentiels, leur rôle, et comment les activer sur Apache, Nginx et cPanel.

Pourquoi les headers HTTP sont critiques

Les headers HTTP de sécurité sont des instructions que votre serveur envoie au navigateur à chaque réponse. Ils disent au navigateur : « Fais confiance à X, refuse Y, bloque Z ». Cela crée une couche de protection supplémentaire entre le navigateur et votre site.

Concrètement, sans ces headers :

• Votre site peut être intégré dans une iframe frauduleuse (clickjacking) et voler des clics de vos utilisateurs.
• Un script injecté via XSS peut voler les cookies de session de vos utilisateurs.
• Un visiteur peut tomber sur du HTTP en clair si un attaquant exploite une faille DNS.
• Votre politique CSP absente laisse passer tout script externe, même malveillant.

Et en cas de fuite de données, la CNIL examine vos headers. Leur absence = négligence = amende alourdie.

Les 7 headers essentiels (par ordre de priorité)

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

X-Content-Type-Options: nosniff

X-Frame-Options: SAMEORIGIN

Referrer-Policy: strict-origin-when-cross-origin

Permissions-Policy: geolocation=(), microphone=(), camera=()

Content-Security-Policy: default-src 'self';
  script-src 'self' 'unsafe-inline' https://www.googletagmanager.com;
  style-src 'self' 'unsafe-inline' https://fonts.googleapis.com;
  font-src 'self' https://fonts.gstatic.com;
  img-src 'self' data: https:;
  connect-src 'self';

Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report

Cross-Origin-Opener-Policy: same-origin

Configuration concrète selon votre serveur

Apache / .htaccess (hébergement mutualisé OVH, cPanel, etc.)

Créez ou éditez le fichier .htaccess à la racine de votre site :

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"
    Header always set Cross-Origin-Opener-Policy "same-origin"
    # CSP : à tester en Report-Only d'abord !
    Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; font-src https://fonts.gstatic.com; img-src 'self' data: https:;"
</IfModule>

Nginx

Dans votre fichier de configuration de site :

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
add_header Cross-Origin-Opener-Policy "same-origin" always;
add_header Content-Security-Policy "default-src 'self'" always;

PHP (si pas d'accès au serveur)

Ajoutez au tout début de vos fichiers PHP principaux (ou dans un include chargé partout) :

<?php
header('Strict-Transport-Security: max-age=31536000; includeSubDomains');
header('X-Content-Type-Options: nosniff');
header('X-Frame-Options: SAMEORIGIN');
header('Referrer-Policy: strict-origin-when-cross-origin');
header('Permissions-Policy: geolocation=(), microphone=(), camera=()');
?>

Comment tester votre configuration

Trois outils gratuits pour vérifier vos headers :

1. SecurityHeaders.com — note votre site de A+ à F, détaille chaque header manquant.
2. Mozilla Observatory — observatory.mozilla.org, analyse plus poussée avec recommandations.
3. VeriSite (shameless plug) — scan de conformité complet : headers + RGPD + RGAA + LCEN en 30 secondes.

Les erreurs les plus fréquentes

• HSTS activé sans être prêt : si vous désactivez HTTPS plus tard, les utilisateurs ne pourront plus accéder au site pendant 1 an. Testez d'abord avec max-age=60 (1 minute) puis augmentez.
• CSP trop restrictive : casse Google Fonts, Analytics, pixels publicitaires. Commencez en Report-Only + analysez les reports.
• X-Frame-Options en concurrence avec frame-ancestors CSP : les navigateurs privilégient CSP, donc X-Frame-Options devient purement déclaratif quand les deux sont définis.
• Oubli du always en Nginx : sans ce mot-clé, les headers ne sont envoyés qu'en 2xx, pas en 4xx/5xx (donc pas sur les pages d'erreur).

Pour aller plus loin

• Audit RGPD complet — les 12 points essentiels
• Les 20 amendes CNIL les plus marquantes
• Checklist RGPD e-commerce (22 points)