Guide d'utilisation
Ce que c'est
Colle la sortie de curl -I https://ton-site, ou les en-têtes de réponse que copient les outils réseau du navigateur, et ça te dit ce qui manque ou est incorrect : CSP (y compris si elle est seulement en mode rapport ou fait confiance à une liste de domaines), HSTS, les drapeaux et préfixes des cookies (Secure, HttpOnly, SameSite, __Host-), CORS, COOP, Permissions-Policy et le reste des en-têtes de sécurité habituels.
La note
La lettre résulte UNIQUEMENT du nombre de constats à chaque niveau de gravité, pour que tu puisses la refaire en regardant la liste : F avec quelque chose de critique, D avec 3 ou plus d'élevés, C avec 1 ou 2 élevés, B avec 4 avertissements ou plus, A avec 1 à 3 et A+ sans aucun (les « info » ne comptent pas). Mozilla Observatory donne une autre lettre en soustrayant des points par test, et sa propre documentation reconnaît que ces pondérations sont arbitraires ; ici il n'y a pas de pondérations à justifier.
Pour générer tes propres en-têtes
Cet outil AUDITE ce qu'un site envoie déjà. Si tu veux la configuration nginx ou Apache pour ton propre projet, utilise l'outil de configuration SPA.
Comment sait-il si c'est du HTTPS ?
Les en-têtes de réponse ne répètent pas le schéma de la requête. Si tu colles la ligne de commande (curl -I https://…) ou juste l'URL, c'est détecté à partir de là ; s'il n'y a aucun indice, HTTPS est supposé (le cas réel le plus fréquent) — et tu peux le corriger à la main avec l'interrupteur.
