HSTS
H
Definition complete
<p><strong>HSTS</strong> (HTTP Strict Transport Security) est un mécanisme de sécurité web qui force les navigateurs à utiliser exclusivement des connexions HTTPS avec un site. Ce header HTTP empêche les attaques de type downgrade et les interceptions man-in-the-middle en garantissant que toutes les communications sont chiffrées.</p><p>Lorsqu'un navigateur reçoit un header HSTS, il mémorise que ce site doit toujours être accédé via HTTPS, même si l'utilisateur tape une URL en HTTP ou clique sur un lien HTTP. Cette protection persiste pendant la durée spécifiée (max-age), généralement 1 ou 2 ans.</p><p>La directive "includeSubDomains" étend cette protection à tous les sous-domaines, tandis que "preload" permet d'inscrire le domaine dans la liste préchargée des navigateurs. Cette liste, commune à Chrome, Firefox, Safari et Edge, assure une protection HSTS dès la première visite, avant même de recevoir le header.</p><p>HSTS est essentiel pour la sécurité moderne et améliore également le SEO, Google favorisant les sites sécurisés. Cependant, son implémentation requiert une configuration HTTPS parfaite sur l'ensemble du site et de ses sous-domaines, car une erreur de certificat rendrait le site inaccessible.</p>
Exemples pratiques
<ul><li><strong>Header basique</strong> : Strict-Transport-Security: max-age=31536000 pour un an de protection.</li><li><strong>Avec sous-domaines</strong> : max-age=31536000; includeSubDomains pour sécuriser tous les sous-domaines.</li><li><strong>Preload</strong> : max-age=63072000; includeSubDomains; preload pour inscription dans la liste navigateur.</li><li><strong>E-commerce</strong> : HSTS obligatoire pour protéger les données de paiement et clients.</li><li><strong>Banque en ligne</strong> : HSTS avec preload pour une sécurité maximale dès la première connexion.</li></ul>
A quoi sert HSTS ?
<ul><li>Sécurisation des sites e-commerce traitant des paiements</li><li>Protection des applications web avec authentification</li><li>Conformité aux standards de sécurité (PCI-DSS, SOC2)</li><li>Amélioration du score de sécurité SSL Labs</li><li>Protection contre les attaques réseau sur WiFi public</li><li>Renforcement SEO via la sécurité HTTPS</li></ul>
HSTS en pratique chez 123web
<p>Chez 123web, nous configurons HSTS sur tous les sites que nous développons pour garantir une sécurité optimale. Notre équipe implémente les headers de sécurité appropriés, prépare l'inscription preload si pertinent et audite la configuration HTTPS pour une protection sans faille.</p>