Cybersécurité externe · En-têtes de sécurité · règle CYB-HDR-01
L'en-tête HSTS est présent
En bref : L'en-tête HSTS est présent.
Gravité : Moyenne
Pourquoi c'est important
Sur un réseau public, un attaquant peut intercepter la première connexion et faire rester le visiteur en http.
L'écart tel que le rapport l'écrit : L'en-tête HSTS est absent
Comment corriger
Ajoutez l'en-tête Strict-Transport-Security à toutes les réponses HTTPS.
Qui s'en charge : votre hébergeur · effort : quelques minutes
Pour votre développeur
En-tête à envoyer
Strict-Transport-Security: max-age=31536000; includeSubDomainsApache (mod_headers), dans le VirtualHost HTTPS
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"Nginx 1.7.5 ou plus, dans le bloc server HTTPS (un add_header au niveau location annule ceux du niveau server)
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;La source
ANSSI, Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur, guide ANSSI-PA-009, version 2.0 du 28/04/2021, chapitre 4, R2 « Mettre en œuvre HSTS » ; RFC 6797 (HSTS), novembre 2012, §6.1.1 (max-age)
R2 Il est nécessaire de mettre en œuvre HSTS afin de limiter les risques d'attaque de type Man-In-The-Middle dus à des accès non sécurisés générés par les utilisateurs ou par un attaquant.
Source vérifiée le 04/11/2026. Le rapport constate un écart à cette règle ; il ne rend pas d'avis juridique.
Dans la même catégorie
Votre site respecte-t-il cette règle ?
L'audit vérifie ce point et les 84 autres, en quelques minutes, sans rien forcer.
29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.