Le cadenas ne suffit pas : imposer HTTPS avec HSTS
Publié le 22 octobre 2026 · David Serreau
Votre site affiche le cadenas : il a un certificat. Pourtant, le navigateur n'est pas toujours obligé de l'utiliser. C'est exactement ce que la sonde a trouvé sur ce site-ci, avant correction.
Le problème
Quand quelqu'un tape votre adresse sans « https:// », ou clique sur un vieux lien en « http:// », la première requête part en clair. Votre serveur redirige ensuite vers la version sécurisée, mais cette première requête peut être lue ou détournée sur un réseau peu sûr (Wi-Fi public, par exemple).
La solution : une ligne d'en-tête
L'en-tête Strict-Transport-Security (HSTS) dit au navigateur : « pour ce domaine, c'est HTTPS seulement, pendant telle durée ». Ensuite, toute tentative en HTTP est passée en HTTPS par le navigateur lui-même, et l'internaute ne peut plus ignorer une erreur de certificat.
Strict-Transport-Security: max-age=31536000; includeSubDomains- max-age : durée en secondes pendant laquelle le navigateur s'en souvient (ici un an).
- includeSubDomains : la règle vaut aussi pour les sous-domaines. À n'ajouter que si tous vos sous-domaines sont bien en HTTPS.
- preload (option) : demande d'inscription sur une liste intégrée aux navigateurs. Exige au moins un an et
includeSubDomains. Difficile à défaire : à réserver aux sites stables.
Les pièges
- L'en-tête n'est pris en compte qu'en HTTPS ; envoyé en HTTP, il est ignoré.
- La toute première visite reste exposée tant que le navigateur ne connaît pas encore la règle (c'est ce que preload corrige).
- Commencez par une durée courte (une semaine) si vous n'êtes pas sûr de vos sous-domaines, puis allongez.
Où le mettre
Selon l'hébergement : un fichier _headers (Cloudflare Pages, Netlify), un fichier .htaccess (Apache), la configuration du serveur, ou une option du tableau de bord de l'hébergeur.
Sur ce site
Avant : en-tête absent, seul point « à durcir » relevé. Après ajout de l'en-tête, la même sonde rejouée donne 0 point à durcir. Les deux rapports sont en ligne sur la page d'accueil.
Sources
vérifiées le 22 octobre 2026
Besoin d'un coup de main ?
Le bilan de votre site est offert : 5 points, e-mails compris, sous 5 jours ouvrés.