SSL et en-têtes de sécurité : interpréter une vérification de configuration

Une vérification SSL et des en-têtes peut révéler des problèmes de certificat ou de configuration de réponse. Elle n'établit pas qu'une application est exempte de vulnérabilités, et l'absence d'un en-tête ne prouve pas non plus qu'une attaque exploitable existe.

Inspecter la connexion et la réponse réelles

Vérifiez le nom d'hôte demandé, la validité du certificat, la chaîne de confiance et la destination HTTPS finale. Inspectez ensuite les en-têtes fournis pour des pages représentatives, y compris les routes authentifiées et publiques lorsque vous y êtes autorisé. Les réponses de redirection, les pages mises en cache et les erreurs d'application peuvent utiliser des configurations différentes ; une réponse de page d'accueil réussie ne constitue donc pas un examen complet.

Choisir des politiques pour l'application

La politique de sécurité du contenu (CSP), HSTS et d'autres en-têtes ont des objectifs différents. Une politique stricte copiée à partir d'un autre site peut casser des scripts, des intégrations ou des éléments intégrés. Comprenez les ressources requises, testez une politique adaptée et surveillez les violations avant d'appliquer des restrictions générales. HSTS a des effets persistants dans les navigateurs et mérite une attention particulière.

Exemple concret : un widget de paiement cesse de fonctionner après une modification de CSP

Supposons qu'une nouvelle politique empêche le chargement d'une trame de paiement requise. Reproduisez l'échec du paiement lors d'un test autorisé, inspectez la violation de politique du navigateur et vérifiez l'origine du fournisseur visé. Ajustez uniquement la directive nécessaire et testez à nouveau l'ensemble du flux. Ne désactivez pas toute la politique et n'autorisez pas largement chaque origine juste pour faire fonctionner un seul widget. Il s'agit d'un exemple de configuration hypothétique.

Établir une liste de contrôle de vérification

• Confirmer l'hôte HTTPS et le certificat visés.
• Vérifier la navigation HTTP vers HTTPS et les réponses d'erreur représentatives.
• Tester la connexion, les formulaires, les ressources intégrées et les scripts importants.
• Enregistrer les modifications de politique ainsi qu'une procédure de restauration appropriée.
• Traiter les résultats automatisés comme une file d'attente d'investigation, et non comme une certification.

Le vérificateur SSL de SearchBastion fournit une observation initiale de la configuration. Les contrôles d'autorisation, la gestion des entrées, la gestion des dépendances et les tests d'application nécessitent un examen distinct. Un score d'en-tête vert ne valide pas ces domaines et ne garantit pas la visibilité dans les moteurs de recherche.

Consultez la référence des en-têtes HTTP de MDN avant de sélectionner et de tester des politiques.