Que dit votre serveur à qui le lui demande ?
Entrez l’adresse de votre site. On ouvre votre page comme un navigateur ordinaire, sans rien sonder, et on vous dit quelles protections manquent.
Un navigateur demande votre page. Votre serveur répond par des consignes : ce qu’il autorise, ce qu’il refuse. Regardez ce qu’il manque, et ce qu’un script en fait.
Un navigateur demande votre page. Le serveur joint ses consignes.
Deux manquent, dont celle qui dit quels scripts peuvent s’exécuter.
Un script injecté se présente. Rien ne l’en empêche.
Il s’exécute. Une ligne suffit à lire le témoin de session de vos visiteurs.
Vous ajoutez les deux consignes manquantes. Elles se posent.
Le même script revient, par le même chemin.
Le navigateur vérifie son origine : pas votre domaine.
Il est bloqué. Le témoin reste hors de portée.
Ce qui bloque le script tient en quatre lignes dans la configuration de votre serveur.
Aucune de ces consignes ne se voit à l’écran. Un visiteur ne saura jamais que la protection manquait. Votre site est peut-être dans ce cas.
Chrome
Safari
Firefox
Edge
Samsung
Brave
Opera
VivaldiChromeSafariFirefoxEdgeSamsungBraveOperaVivaldiTous ces navigateurs lisent les mêmes en-têtes pour décider ce qu’ils s’autorisent sur votre page. Ce que vous ne déclarez pas, chacun le règle à sa façon, et rarement à la vôtre.
Est-ce que vous testez mon site ?
Non, et c’est délibéré. Cet instrument ne sonde rien : il n’essaie aucune adresse cachée, ne cherche aucun fichier de configuration, ne tente aucune intrusion. Il ouvre votre page d’accueil comme n’importe quel navigateur et lit ce que votre serveur lui répond de lui-même.
À quoi servent ces en-têtes ?
Ce sont des consignes que votre serveur donne au navigateur du visiteur. Elles disent quels scripts il a le droit d’exécuter, s’il peut afficher votre site dans une page tierce, s’il doit refuser une connexion non chiffrée. Sans elles, le navigateur applique ses réglages permissifs par défaut.
Que mesure ce relevé ?
Treize contrôles groupés en cinq familles, notés sur 100. La connexion chiffrée et son certificat, les consignes au navigateur, les témoins de connexion, ce que la page charge, et ce que le serveur annonce de lui-même. Un contrôle qui n’a rien à examiner, un site sans témoins par exemple, sort du calcul au lieu de vous pénaliser.
Un bon score veut-il dire que je suis protégé ?
Non. Ce relevé regarde la façade. Il ne dit rien de la solidité de votre code, de vos mots de passe, de vos sauvegardes ni de vos accès d’administration. Un site parfaitement configuré en surface peut avoir une faille dans un formulaire.
Qui corrige, et en combien de temps ?
Presque tout se règle dans la configuration du serveur ou chez votre hébergeur, souvent en quelques lignes. La seule exception est la politique de contenu : elle demande de recenser ce que vos pages chargent, et se pose par étapes pour ne rien casser.
Relevé de exemple.fr
0,0 sLe score se construit.
Chaque poste ajoute les points qu’il rapporte, et montre ceux qui vous manquent.
Cinq autres mesures sur le même domaine, sans rien ressaisir. Chacune garde son résultat dans le carnet.