Vérificateur de sécurité HTTP

La plupart des failles de sécurité Web ne sont pas des attaques intelligentes. Il s'agit d'un en-tête qui n'a jamais été défini, ou d'un numéro de version que le serveur donne volontairement à quiconque le demande. Pointez le scanner sur un site que vous contrôlez et obtenez les en-têtes et les technologies qui le sous-tendent - notés, conservés et surveillés pour le jour où tout cela change.

Six raisons de vérifier votre propre couche HTTP

Les en-têtes sont la sécurité la moins chèreil y a du travail. Il s'agit de configuration, pas de code, et la plupart d'entre eux comportent une seule ligne.

Rechercher les en-têtes qui n'ont jamais été définis

Les en-têtes de sécurité sont les instructions qu'un site donne au navigateur sur la façon de le traiter. Sans eux, le navigateur applique ses valeurs par défaut, qui sont permissives par conception car le Web doit continuer à fonctionner pour des sites écrits il y a vingt ans. Rien ne se casse lorsqu'un en-tête manque, c'est précisément pourquoi il restemanquant.

Empêcher le serveur de se présenter

Une installation par défaut annonce souvent son logiciel et sa version dans chaque réponse. Ce n'est pas une vulnérabilité en soi, et c'est aussi la première chose qu'un attaquant lit - cela transforme « trouver un moyen d'entrer » en « rechercher les failles connues dans cette version exacte ». Éteindre la bannière ne coûte rien.

Vérifiez les en-têtes qui s'appliquent uniquement sur la bonne page

Strict-Transport-Security sur la page d'accueil marketing et non sur la page de connexion est un échec courant et silencieux. Les indicateurs de cookies sont les mêmes : Secure et HttpOnly définis sur un cookie et oubliés sur le cookie de session. Tester une URL vous renseigne sur une URL.

Découvrez quelles technologies vous utilisez réellement

La réponse révèle généralement le framework, le serveur et souvent le CMS. Savoir ce qui est détectable de l'extérieur est le point de départIl est important de savoir si l'un d'entre eux est obsolète - et ce n'est souvent pas la version que l'équipe pense être déployée.

Découvrez ce qu'est un déploiement discrètement supprimé

Les en-têtes vivent dans une configuration qui est remplacée : un nouveau proxy inverse, un CDN ajouté devant, une mise à niveau du framework qui réinitialise les valeurs par défaut. Le site semble identique par la suite. Les en-têtes ont disparu et personne ne les regarde à moins que quelque chose ne va pas.

Produire des preuves pour unexamen de sécurité

Le questionnaire de sécurité d'un client vous demande si vous avez défini une politique de sécurité du contenu. Un rapport daté indiquant les en-têtes renvoyés par chaque hôte est une meilleure réponse qu'une coche dans une case, et c'est une preuve que vous pouvez conserver.

Sachez le jour où votre configuration change

Une configuration HTTP ne dérive pas progressivement. Il change en un seul déploiement et le changement est invisible dans le navigateur.

Les analyses planifiées transforment cela enune différence dont on vous parle : cet en-tête a disparu, cette version technologique a reculé, cette note a chuté. Les alertes arrivent dans l'application, par e-mail ou via Slack, Teams, Jira ou un webhook.

Étape 01 · Nommez la cible

Un nom d'hôte ou un domaine que vous contrôlez, ajouté à votre compte AYAsec. La propriété est vérifiée avant l'envoi de quoi que ce soit : AYAsec ne planifiera pas d'analyses sur l'infrastructure dont vous n'avez pas démontré le contrôle et pour prouver qu'il faut un enregistrement DNS. La vérification rapide ci-dessus ignore ceci : pas de compte, pas de vérification, juste une limitation du débit IP et une règle selon laquelle la cible doit être publique.adresse.

Étape 02 · Choisissez le profil

Trois profondeurs. Passif lit ce que le site renvoie sans le sonder. Active envoie des demandes de test pour trouver les faiblesses qui n'apparaissent qu'en dessous. Extended va encore plus loin. Le passif est à l’abri de tout ; les profils plus profonds représentent du trafic réel et doivent être pointés vers ce que vous attendez d’eux.

Étape 03 · Lire le résultat

Les résultats arrivent classés par gravité et notés de A+ à F. HTTPsupporte le poids le plus lourd dans la qualité composite - 30 %, plus que toute autre couche - car c'est là que se trouve la plupart de ce qui est accessible.

Ce que vérifie l'analyse

En-têtes de sécurité

Lesquelles sont présentes, lesquelles manquent et si les valeurs font ce qu'elles semblent faire. Un Content-Security-Policy qui permet tout est présent et inutile.

Détection technologique

Le serveur, le framework etbibliothèques révélées par les réponses, avec des versions dans lesquelles elles sont divulguées.

Vulnérabilités Web connues

Une fois que vous vous êtes connecté au profil actif ou étendu, l'analyse est alimentée par OWASP ZAP, le scanner d'applications Web open source géré par l'Open Worldwide Application Security Project et l'outil par rapport auquel cette catégorie est mesurée. La vérification rapide ci-dessus reste passive : pas de ZAP, pas de sondage, juste la seule requête nécessaire pour lire leen-têtes. HTTP est l'une des cinq couches notées. Les autres sont TLS et ports et DNS à 20 % chacun, et la crédibilité du domaine à 10 %.

Questions avant de numériser

Que puis-je scanner ?

Infrastructure que vous possédez ou que vous êtes chargé de tester. La vérification rapide ci-dessus ne vérifie pas cela pour vous - elle limite uniquement le débit par IP et refuse de cibler autre chose qu'une adresse publique. Ajouter la cible à unAYAsec à la place, et le contrôle est vérifié avant toute exécution programmée : une limite légale autant que pratique, puisqu'une analyse non vérifiée ne vous est pas non plus utile comme preuve.

L'analyse va-t-elle perturber le site ?

Le profil passif ne le fera pas - il lit les réponses aux requêtes ordinaires. Les profils actifs et étendus envoient des demandes de test dès leur conception, c'est ainsi qu'ils découvrent des choses que les contrôles passifs ne peuvent pas faire. Dirigez-les vers un environnement dans lequel voussont prêts à enquêter.

Est-ce un test d'intrusion ?

Non, et cela n’en remplace pas un. Une analyse automatisée trouve les classes de problèmes qui peuvent être trouvées automatiquement. Un test d'intrusion consiste à rechercher ceux qui ne le peuvent pas.

Nous utilisons un CDN. Est-ce que je teste mon site ou le leur ?

Les deux, et cela vaut la peine d’être connu. Les en-têtes qu'un visiteur reçoit sont ceux envoyés par le CDN, quel que soit celui qui les a définis. Si votre origine définit un en-tête, les bandes CDN, lele visiteur ne comprend pas - et l'analyse vous montre ce que le visiteur obtient.

Les en-têtes manquants sont-ils vraiment importants ?

Individuellement, souvent pas grand-chose. Collectivement, ils font la différence entre un navigateur qui défend vos utilisateurs et un autre qui fait tout ce qu'on lui dit. Ils constituent également la solution la moins chère à tout retard de sécurité, ce qui en fait une mauvaise chose à garder ouverte.

Conservez-vous les résultats ?

Pas la vérification rapide ci-dessus - elle reste en mémoire pendant environ quinze minutes afin que vous puissiez la lire une fois, puis elle disparaît. Il s'agit d'un choix délibéré en matière de confidentialité, et non d'une limitation : personne d'autre que vous ne voit cette analyse et vous pouvez télécharger le résultat complet avant son expiration. Ajoutez plutôt la cible à un compte AYAsec et chaque analyse est conservée - une série qui vous indique quel déploiement a supprimé l'en-tête. La rétention dépend de votre plan.

Conservez l'historique, pas seulementle résultat

Exécutez l'analyse complète sur votre propre domaine, selon un calendrier, en conservant chaque résultat et en signalant chaque modification.

Commencer à numériser gratuitement Comparer les forfaits

Plus de scanners de sécurité gratuits pour TLS, ports et DNS

HTTP est l'une des cinq couches notées. Les autres répondent chacun à une question différente :

View all free security scanners

Données structurées à intégrer

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

N'ajoutez pas de balisage FAQPage ou HowTo - Google a retiré les deux types de résultats.