Qu'est-ce que les en-têtes HTTP ?

Les en-têtes HTTP sont des paires clé-valeur envoyées entre un client et un serveur dans le cadre de chaque requête et réponse HTTP. Ils transportent des métadonnées sur la connexion — type de contenu, règles de mise en cache, politiques de sécurité, tokens d'authentification, et bien plus. Chaque en-tête suit le format Header-Name: value et est régi par des normes comme RFC 7230 et RFC 9110.

Des en-têtes correctement configurés sont essentiels pour la sécurité web, les performances et l'interopérabilité. Des en-têtes mal configurés peuvent exposer la technologie du serveur, affaiblir la posture de sécurité, causer des problèmes de mise en cache ou casser les requêtes cross-origin. Les en-têtes de sécurité tels que Strict-Transport-Security, Content-Security-Policy et X-Content-Type-Options sont particulièrement importants pour protéger les utilisateurs contre les attaques courantes comme le clickjacking, le MIME-type sniffing et la rétrogradation de protocole.

Description de l'outil

Ce validateur d'en-têtes HTTP vérifie les en-têtes HTTP bruts pour détecter les erreurs de syntaxe, les problèmes de sécurité et les violations des meilleures pratiques. Collez vos en-têtes et l'outil valide instantanément chacun d'eux par rapport aux normes RFC, signale les en-têtes obsolètes, détecte les doublons, avertit des configurations risquées et identifie les en-têtes de sécurité manquants. Il rapporte le nombre total d'en-têtes ainsi qu'une liste détaillée de tous les problèmes trouvés.

Fonctionnalités

  • Valide les noms d'en-têtes par rapport aux règles de caractères de token RFC 7230
  • Vérifie les valeurs spécifiques aux en-têtes selon les normes telles que Content-Type, Cache-Control, HSTS, X-Frame-Options et CORS
  • Signale les en-têtes obsolètes (Pragma, X-Powered-By, Expect-CT, Public-Key-Pins) avec des alternatives recommandées
  • Détecte les en-têtes de sécurité manquants : Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy et Permissions-Policy
  • Rapporte les en-têtes en doublon, les valeurs vides et les caractères de contrôle invalides

Comment ça fonctionne

Le validateur analyse chaque ligne d'entrée comme une paire Name: Value (en ignorant les lignes d'état HTTP). Il exécute ensuite une série de vérifications dans l'ordre : validation de la syntaxe (caractères valides, placement correct du deux-points, pas de caractères de contrôle), détection des doublons, recherche d'obsolescence et validation des valeurs spécifiques aux en-têtes. Enfin, il recherche les en-têtes de sécurité manquants qui sont recommandés pour les déploiements en production. Chaque problème est catégorisé comme une erreur (problème structurel) ou un avertissement (préoccupation de meilleures pratiques).

Cas d'usage

  • Auditer les en-têtes de réponse de votre serveur web avant un examen de sécurité ou un test de pénétration
  • Déboguer les réponses API en repérant rapidement les en-têtes mal formés ou manquants
  • Vérifier que les en-têtes de sécurité répondent aux exigences de production après une modification de la configuration du serveur