Votre site a une note F en sécurité.Personne ne vous l'a dit. Faisons mieux.
securityheaders.com est un outil public, gratuit, anonyme. Vous y tapez votre domaine, vous obtenez en 10 secondes un bulletin de notes de A+ à F sur les 6 protections HTTP que votre site devrait poser. La majorité des sites de PME française que j'audite chez Menschhh reçoivent un F. Cet article n'est pas un audit déguisé. C'est un mode d'emploi pour faire le test vous‑même, comprendre le résultat, et savoir quoi en faire avec votre prestataire ou votre équipe technique.
Vous ouvrez securityheaders.com. Vous tapez votre domaine. Vous appuyez sur entrée. Le site interroge votre serveur, lit les en‑têtes HTTP que vous renvoyez à chaque visiteur, et affiche un grade global de A+ à F.
Le résultat est public. N'importe qui peut faire le test, sur n'importe quel site. C'est l'équivalent securityheaders du nutri‑score : un signal lisible immédiatement, qui ne demande aucune compétence technique pour être interprété au niveau du grade.
Pas de connexion à fournir, pas d'installation, pas d'agent à poser sur votre site. L'outil mesure depuis l'extérieur ce que votre serveur dit publiquement à chaque navigateur qui demande votre page d'accueil.
Source : securityheaders.com, outil maintenu depuis 2015 par Scott Helme, devenu référence industrie pour l'audit des en‑têtes HTTP.
Le F est le grade par défaut d'un site WordPress, Shopify ou Wix sortie d'usine. Ce n'est pas une exception : c'est la règle observée sur 8 sites PME sur 10 que je passe en audit avant une refonte.
Le F ne signifie pas que votre site est attaqué. Il signifie qu'il est configurable mais pas configuré. 6 protections HTTP standard de l'industrie sont absentes de la réponse serveur. Les sites professionnels les posent depuis 2018.
Aucune protection HTTP active
F
_01 Le jour du verdict
J'avais préparé une slide d'audit pour une refonte. Le badge F est apparu à l'écran avant qu'elle n'ait eu le temps de poser une question. Site WordPress en ligne depuis plusieurs années, prestataire historique sérieux, équipe technique compétente. Sa première phrase n'a pas été technique. « Mais personne ne m'en a jamais parlé. » C'est la phrase que j'entends dans 9 audits sur 10. Le sujet n'est pas dans le radar des dirigeants parce qu'il n'est pas dans le radar de leurs prestataires. Et ça, c'est peut-être plus grave que le grade F lui-même.
Pensez à votre site comme à un immeuble de bureaux que vous ouvrez chaque jour à des visiteurs : clients, prospects, candidats, partenaires. Les 6 en‑têtes de sécurité HTTP, c'est l'équivalent du badge à l'entrée, de la vidéosurveillance, des portes blindées, du contrôle d'accès aux ascenseurs.
Sans ces 6 éléments, votre immeuble est ouvert à tout vent. N'importe qui peut entrer, se faire passer pour vous, voler des données à vos clients, déjouer votre accueil. Ce n'est pas qu'on va forcément vous attaquer demain. C'est que le risque existe et qu'il est évitable en 30 minutes de configuration.
securityheaders.com est le bulletin scolaire de ce dispositif. Voici comment lire la note que vous obtenez :
Chaque protection traite un risque concret. Voici ce qu'elles font, et ce qu'il se passe quand elles sont absentes.
Force le navigateur à toujours utiliser la connexion chiffrée HTTPS sur votre site, jamais la version non chiffrée. Sans cette protection, un client qui se connecte à votre site sur le wifi public d'un hôtel, d'un café ou d'un salon professionnel laisse une fraction de seconde où sa requête circule en clair. Un attaquant sur le même wifi peut l'intercepter et le rediriger vers une fausse version de votre site.
Une liste blanche des sources de code que votre site est autorisé à exécuter. Tout ce qui n'est pas dans la liste est bloqué par le navigateur. Sans elle, si un attaquant arrive à injecter du code malicieux dans votre site (faille XSS, plugin compromis, commentaire piégé), ce code s'exécute librement. Avec CSP, l'attaque est neutralisée même si l'injection a réussi.
Empêche le navigateur de deviner le type d'un fichier en le scannant. Il doit se fier strictement à l'étiquette qu'on lui donne. Sans cette protection, un attaquant peut uploader un fichier image qui contient en fait du JavaScript caché : certains navigateurs vont exécuter le code au lieu d'afficher l'image. Fix en 2 lignes côté serveur.
Empêche d'autres sites d'intégrer le vôtre dans une iframe invisible. Un escroc crée un faux site, met votre formulaire de devis ou votre espace client par‑dessus dans une iframe invisible, et capte les actions de vos visiteurs sans qu'ils s'en rendent compte. Avec cette protection, le navigateur refuse d'afficher votre site quand quelqu'un essaie de le cadrer.
Contrôle quelles informations sont envoyées aux sites externes quand vos visiteurs cliquent sur un lien sortant. Les URLs contiennent souvent des données sensibles : tokens de connexion, identifiants client, montants. Sans cette protection, tous les sites externes que vos clients visitent reçoivent l'URL complète d'où ils viennent. Signal RGPD négatif direct.
Déclare quelles fonctionnalités du navigateur votre site a le droit d'utiliser : caméra, micro, géolocalisation, paiement Apple Pay ou Google Pay. Tout le reste est désactivé. Sans cette protection, si une faille permet à un script malicieux de s'exécuter, il peut accéder à la webcam, au micro, à la géolocalisation de vos visiteurs sans leur consentement. Avec elle, ces APIs sont coupées à la racine.
Pour aller plus loin avec votre prestataire ou votre équipe technique, voici les 6 en‑têtes nommés exactement comme securityheaders.com les liste, leur fonction technique et la valeur recommandée à poser côté serveur.
Aucun impact visuel. Aucun changement pour vos visiteurs. Juste des en‑têtes posés côté serveur.
Slide d'audit Menschhh, 25 mai 2026
Le fix ne change rien à l'apparence de votre site. Aucun pixel ne bouge. Aucun lien ne casse. Aucun visiteur ne s'aperçoit de la différence depuis son navigateur.
Mais le bulletin securityheaders.com bascule en quelques minutes : de 0 protection HTTP active à 7 en‑têtes posés (les 6 standard plus Cross‑Origin‑Opener‑Policy qu'on ajoute en bonus). Le grade global passe de F à A.
C'est la même boutique, le même produit, le même contenu. Juste un immeuble qui ferme enfin ses portes.
Avant le fix
Après le fix
1. Ouvrez securityheaders.com. Tapez votre domaine principal. Activez Follow Redirects. Appuyez sur entrée.
2. Lisez le grade affiché. Notez‑le, prenez la capture d'écran. Faites tourner le test sur 2 ou 3 sites de référence de votre secteur : leurs grades vous donnent le standard réel pratiqué autour de vous.
3. Si vous lisez D, E ou F, envoyez la capture à votre prestataire web ou à votre équipe technique avec une question simple : « quel est le plan pour passer ce site en A d'ici 30 jours ? ». Si la réponse est floue, vague ou défensive, vous savez ce que ça veut dire.
L'opération est rapide. Elle ne demande pas de refonte. Elle ne change rien à votre site visuellement. Elle se fait au niveau de la configuration serveur ou de votre couche edge (Cloudflare par exemple). N'importe quel prestataire compétent sait poser ces 6 en‑têtes en moins d'une demi‑journée. Si votre site souffre d'un autre symptôme classique en parallèle, j'ai écrit ailleurs pourquoi votre site ne convertit pas.
Lire F sur securityheaders.com ne signifie pas que votre site va être attaqué demain. Ce n'est pas une vulnérabilité active, ce n'est pas une faille zero‑day. C'est l'absence d'une couche de protection standard que les sites pros posent par défaut.
Inversement, lire A ne signifie pas que votre site est invulnérable. Un site en grade A peut avoir une faille applicative grave ailleurs (injection SQL, plugin vérolé, mot de passe admin faible). Les en‑têtes HTTP ne sont qu'une couche du dispositif, pas le dispositif entier.
Ce que la note F dit vraiment, c'est qu'il y a une négligence systémique du marché web français sur ce point précis. La majorité des sites PME que j'audite sont en F. Pas parce qu'ils sont mal faits, mais parce que ce sujet n'a jamais été abordé entre le dirigeant et son prestataire. Ce silence est le vrai problème.
30 minutes en visio pour regarder votre site ensemble, identifier ce qui freine, chiffrer ce qui vaut la peine d’être fait. Sans engagement, sans relance commerciale. Si on s’entend, on continue.