Aller au contenu principal
Bethemesh
Développement

Analyseur d’en-têtes HTTP

Inspectez un ensemble d’en-têtes HTTP et obtenez un rapport lisible sur les directives de sécurité, le cache, CORS et les cookies détectés.

  • Presse-papiers
  • Export

Intégrer ce widget

Personnalisez le rendu, vérifiez l’aperçu puis copiez le code.

Aperçu

Type de code d’intégration

Code à copier

Responsive et redimensionné automatiquement par Bethemesh.

Collez les lignes de réponse HTTP, avec ou sans ligne de statut.

Cet outil vous a-t-il été utile ?

Comment fonctionne cet outil ?

Analysez des en-têtes HTTP et obtenez un rapport sur la sécurité, le cache, CORS et les cookies.

Collez les en-têtes d’une réponse HTTP, un champ Nom: valeur par ligne. Une ligne de statut comme HTTP/1.1 200 OK est ignorée. Le moteur met les noms en minuscules, contrôle leur syntaxe puis associe les valeurs répétées avec une virgule. Set-Cookie est conservé sur des lignes séparées, car une virgule peut appartenir à Expires. Les pseudo-en-têtes HTTP/2 comme :status ne sont pas des lignes acceptées par cette interface.

Le rapport vérifie la présence de cinq champs : Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy et Permissions-Policy. Il examine aussi Cache-Control, Access-Control-Allow-Origin et Content-Encoding. Le pourcentage provient de points internes : 12 par champ parmi les cinq, 8 pour le cache, 6 pour une origine CORS explicite, 6 pour la compression et jusqu’à 12 pour les attributs de cookies, rapportés à un maximum de 92. Ce barème ne vient pas d’une certification externe.

Pour les cookies, Secure, HttpOnly et un SameSite reconnu sont recherchés séparément sur chaque ligne. Un attribut compte seulement s’il est présent sur tous les cookies. L’analyse ne vérifie pas les relations entre directives : SameSite=None sans Secure, une CSP inefficace ou une valeur HSTS invalide peuvent encore donner des points de présence. Certains champs sont inutiles ou inadaptés selon la réponse. Un score maximal n’est donc pas un bilan de sécurité, et un score faible ne démontre pas une vulnérabilité.

Comment utiliser cet outil ?

  1. Copier une réponse réelle

    Récupérez les en-têtes dans les outils réseau de votre navigateur ou un client HTTP. Retirez le corps et les blocs de réponses intermédiaires pour analyser une réponse à la fois.

  2. Lancer l’examen local

    Collez les lignes puis analysez. L’outil ne charge pas le site et ne confirme pas que ces en-têtes sont réellement servis à tous les utilisateurs.

  3. Interpréter chaque ligne

    Vérifiez le sens de chaque directive avec son contexte. Comparez deux réponses après une modification du serveur, en distinguant présence d’un champ et efficacité de sa valeur.

Cas d'utilisation

Auditer une réponse web

Repérer rapidement les protections HTTP absentes ou incomplètes.

Vérifier une configuration CDN

Contrôler cache, compression et en-têtes ajoutés par un proxy.

Examiner des cookies

Identifier la présence de Secure, HttpOnly et SameSite.

Exemples

Un champ présent ne valide pas sa valeur

Le champ CSP rapporte 12 points sur 92, arrondis à 13 %. La valeur fictive invalid-policy n’est pas une politique recommandée et n’est pas validée par ce compteur.

Entrée

Content-Security-Policy: invalid-policy

Résultat

13%

Des attributs répartis ne s’additionnent pas

Les deux cookies ont SameSite, mais Secure et HttpOnly ne sont pas présents sur chacun. Seul SameSite rapporte 4 points sur 92, arrondis à 4 %.

Entrée

Set-Cookie: a=1; Secure; HttpOnly; SameSite=Lax
Set-Cookie: b=2; SameSite=Lax

Résultat

4%

Conseils et bonnes pratiques

  • Évitez de publier Set-Cookie ou des en-têtes d’authentification réels dans un ticket. Le rapport local ne protège pas ce que vous copiez ensuite ailleurs.
  • Une réponse statique, une API publique et une page authentifiée n’ont pas les mêmes besoins de cache et de CORS. Adaptez la lecture du rapport à la ressource.
  • Ne réunissez pas les en-têtes d’une redirection et de la réponse finale : cela créerait un ensemble de politiques qui n’existe sur aucune des deux réponses.

Sources et références

Questions fréquentes

L’outil visite-t-il mon site ?

Non. Il analyse uniquement le texte collé. Il ne teste ni redirections, ni TLS, ni politiques appliquées au chargement réel de la page.

Un score de 100 % garantit-il une bonne sécurité ?

Non. Il représente les contrôles de présence et attributs de ce barème. Il ne valide pas la sémantique complète des politiques et ne recherche pas de vulnérabilités applicatives.

Pourquoi l’absence de CORS n’est-elle pas forcément une erreur ?

Une ressource qui ne doit pas être lue depuis une autre origine peut ne pas annoncer CORS. L’origine autorisée doit refléter les usages voulus et le mode d’authentification.

Comment plusieurs cookies sont-ils évalués ?

Chaque ligne garde ses propres attributs. Secure, HttpOnly ou SameSite ne rapporte des points que si tous les cookies possèdent l’attribut concerné ; les valeurs ne sont pas fusionnées en un cookie fictif.

Outils associés

Continuez avec ces outils

Des outils similaires ou complémentaires à celui-ci.

Outils similaires

Générateur d’en-têtes HTTP

Construisez des en-têtes HTTP personnalisés et récupérez une sortie prête à utiliser dans vos requêtes.

DéveloppementUtiliser l’outil

Générateur de requête API

Construisez une requête API HTTP complète avec méthode, URL, paramètres, en-têtes et corps.

DéveloppementUtiliser l’outil

Recherche de type MIME

Trouvez un type MIME depuis une extension ou l’inverse.

DéveloppementUtiliser l’outil

À lire aussi