Headers Security Advanced & HSTS WP

Description

ANGLAIS

Headers Security Advanced & HSTS WP est la meilleure extension tout-en-un et gratuite pour tous les utilisateurs/utilisatrices de WordPress. La désactivation de cette extension ramènera la configuration de votre site exactement à l’état dans lequel elle était auparavant.

Le projet Headers Security Advanced & HSTS WP met en œuvre des en-têtes de réponse HTTP que votre site peut utiliser pour augmenter la sécurité de votre site Web. L’extension configurera automatiquement toutes les meilleures pratiques (vous n’avez pas à penser à quoi que ce soit), ces en-têtes de réponse HTTP peuvent empêcher les navigateurs modernes de se heurter à des vulnérabilités facilement prévisibles. Le projet Headers Security Advanced & HSTS WP veut populariser et accroître la sensibilisation et l’utilisation de ces en-têtes pour tous les utilisateurs/utilisatrices de WordPress.

This plugin is developed by TentaclePlugins by irn3, we care about WordPress security and best practices.

Découvrez les meilleures fonctionnalités de Headers Security Advanced & HSTS WP :

  • HSA Limit Login pour bloquer les attaques par force brute.
  • X-XSS-Protection (non-standard)
  • Expect-CT
  • Access-Control-Allow-Origin
  • Access-Control-Allow-Methods
  • Access-Control-Allow-Headers
  • X-Content-Security-Policy
  • X-Content-Type-Options
  • X-Frame-Options
  • X-Permitted-Cross-Domain-Policies
  • X-Powered-By
  • Content-Security-Policy
  • Referrer-Policy
  • HTTP Strict Transport Security / HSTS
  • Content-Security-Policy
  • Clear-Site-Data
  • Cross-Origin-Embedder-Policy-Report-Only
  • Cross-Origin-Opener-Policy-Report-Only
  • Cross-Origin-Embedder-Policy
  • Cross-Origin-Opener-Policy
  • Cross-Origin-Resource-Policy
  • Permissions-Policy
  • Strict-dynamic
  • Strict-Transport-Security
  • FLoC (Federated Learning of Cohorts)

Headers Security Advanced & HSTS WP est basé sur OWASP CSRF pour protéger votre site WordPress. En utilisant OWASP CSRF, une fois l’extension installée, elle fournira une atténuation CSRF complète sans avoir à appeler une méthode pour utiliser le nonce sur la sortie. Le site sera sécurisé malgré la présence d’autres extensions vulnérables (CSRF).

Les en-têtes de sécurité HTTP sont un élément essentiel de la sécurité de votre site Web. Après leur implémentation automatique avec Headers Security Advanced & HSTS WP, ils vous protègent contre les types d’attaques les plus notoires que votre site pourrait rencontrer. Ces en-têtes protègent contre le XSS, l’injection de code, le clickjacking, etc.

We have put a lot of effort into making the most important services operational with Content Security Policy (CSP), below are some examples that we have tested and used with Headers Security Advanced & HSTS WP:

  • CSP usage for Google Tag Manager
    world’s most popular tag manager
  • Using CSP for Gravatar
    Avatar service for WordPress and Social sites
  • Using CSP for WordPress Internal Media
    support WordPress media
  • Using CSP for Youtube Embedded Video SDK
    support Youtube embedded frames and JS SDK
  • CSP usage for CookieLaw
    privacy technology to meet regulatory requirements
  • CSP usage for Mailchimp
    support for Mailchimp automation, SDK and modules
  • CSP usage for Google Analytics
    support for basic conversion domains such as: stats.g.doubleclick.net and www.google.com
  • CSP usage for Google Fonts
    you’re not loading it on the page, chances are one of your SDKs is using it
  • Using CSP for **Facebook
    support Facebook SDK functionality
  • Using CSP for Stripe
    highly secure online payment system
  • Using CSP for New Relic
    it’s a registration and monitoring utility
  • Using CSP for Linkedin Tags + SDKs
    support Linkedin Insight, Linkedin Ads and SDK
  • Using CSP for OneTrust
    OneTrust support helps companies manage privacy requirements
  • CSP usage for Moat
    Moat support to measurement suite such as: ad verification, brand safety, advertising and coverage
  • CSP usage for jQuery
    support of jQuery – JS library
  • CSP usage for Twitter Widgets & SDKs
    support Connect, Widgets and the Twitter client-side SDK
  • Using CSP for Google Maps
    support Google Maps as The ggpht used by streetview
  • Using CSP for Quantcast Choice
    Quantcast support for privacy such as GDPR and CCPA
  • CSP usage for Twitter Ads & Analytics
    Twitter support for advertising and Analytics
  • Using CSP for Paypal
    PayPal support for online payment system
  • Using CSP for Drift
    Drift and Driftt support
  • CSP usage for Cookiebot
    cookie and tracker support, GDPR/ePrivacy and CCPA compliance
  • CSP usage for Vimeo Embedded Videos SDK
    support frames, JS SDK, Froogaloop integration
  • Using CSP for AppNexus (now Xandr)
    AppNexus support for custom retargeting
  • Using CSP for Mixpanel
    support analytics tool with SDK/JS to collect client-side data
  • Using CSP for Font Awesome
    toolkit support for fonts and icons over CSS and Less
  • Using CSP for Google reCAPTCHA
    reCAPTCHA support for fraud and bot protection
  • CSP usage for Bootstrap CDN
    Bootstrap support for CSS frameworks
  • Using CSP for HubSpot
    Hubspot support with many features, used for monitoring and mkt functionality
  • Using CSP for Hotjar
    Hotjar tracker support for analytics and metrics
  • Using CSP for WP.com
    support for wp.com hosting
  • Using CSP for Akamai mPulse
    support for Akamai mPulse, for origin and perimeter integrations
  • CSP usage for Cloudflare – Rocket-Loader & Mirage
    support for Mirage libraries for performance acceleration
  • Using CSP for Cloudflare – CDN.js
    Cloudflare’s open CDN support with multiple libraries
  • Using CSP for jsDelivr
    support jsDelivr free CDN for Open Source

Headers Security Advanced & HSTS WP is based on the OWASP CSRF standard to protect your wordpress site. Using the OWASP CSRF standard, once the plugin is installed, you can customize CSP rules for full CSRF mitigation. The site will be secure despite having other vulnerable plugins (CSRF).

All Free Features
The Headers Security Advanced & HSTS WP version includes all the free features.

Nous avons mis en place FLoC (Federated Learning of Cohorts), en utilisant les meilleures pratiques. Tout d’abord, en utilisant Headers Security Advanced & HSTS WP empêche le navigateur d’inclure votre site dans le « calcul de cohorte » sur FLoC (Federated Learning of Cohorts). Cela signifie que rien ne peut appeler document.interestCohort() pour obtenir l’ID FLoC du client actuellement utilisé. Évidemment, cela ne fait rien en dehors de votre site actuellement visité et ne « désactive » pas FLoC sur le client au-delà de cette portée.

Même si FLoC est encore assez nouveau et pas encore largement supporté, en tant que programmeurs nous pensons que les éléments de protection de la vie privée sont importants, donc nous avons choisi de vous donner la fonctionnalité de ne pas être inscrit à FLoC ! Nous avons créé une fonction spéciale de « blocage automatique de FLoC », en essayant de toujours offrir le meilleur outil avec la protection de la vie privée et la cybersécurité comme cibles principales.

Analysez votre site avant et après avoir activé Headers Security Advanced & HSTS WP les en-têtes de sécurité sont auto-configurés selon les meilleures pratiques HTTP Security Headers et HTTP Strict Transport Security/HSTS.

Cette extension est mise à jour périodiquement, notre support limité est gratuit, nous sommes disponibles pour vos retours (bogues, problèmes de compatibilité ou recommandations pour les prochaines mises à jour). Nous sommes généralement rapides :-D.

Captures d’écran

  • Vérifie les en-têtes de sécurité HTTP (APRÈS)
  • Vérifie les en-têtes de sécurité HTTP (AVANT)
  • Vérifie HTTP Strict Transport Security/HSTS (liste)
  • Vérifier WebPageTest (APRÈS)
  • Check WebPageTest (BEFORE)
  • Setting on single site installation
  • Check HTTP Security Headers – Serpworx (AFTER)
  • Check HTTP Security Headers – Serpworx (BEFORE)
  • Site-wide security setting

Installation

Italien

  1. Vai in Plugin ‘Aggiungi nuovo’.
  2. Cerca Headers Security Advanced & HSTS WP.
  3. Cerca questo plugin, scaricalo e attivalo.
  4. Vai in ‘impostazioni’ > ‘Headers Security Advanced & HSTS WP’. Per personalizzare le intestazioni.
  5. Puoi cambiare questa opzione quando vuoi, Headers Security Advanced & HSTS WP viene impostato in automatico.

ANGLAIS

  1. Go to Plugins ‘Add New’.
  2. Search for Headers Security Advanced & HSTS WP.
  3. Search for this plugin, download and activate it.
  4. Go to ‘settings’ > ‘Headers Security Advanced & HSTS WP’. To customize headers.
  5. You can change this option whenever you want, Headers Security Advanced & HSTS WP is set automatically.

FRANÇAIS

  1. Allez dans Extensions/Ajouter.
  2. Recherchez Headers Security Advanced & HSTS WP.
  3. Recherchez cette extension, téléchargez-la et activez-la.
  4. Allez dans ‘settings’ > ‘Headers Security Advanced & HSTS WP’. Pour personnaliser les en-têtes
  5. Vous pouvez modifier cette option quand vous le souhaitez, Headers Security Advanced & HSTS WP est réglé automatiquement.

DEUTSCH

  1. Gehen Sie zu Plugins ‘Neu hinzufügen’.
  2. Suchen Sie nach Headers Security Advanced & HSTS WP.
  3. Suchen Sie nach diesem Plugin, laden Sie es herunter und aktivieren Sie es.
  4. Gehen Sie zu « Einstellungen » > « Kopfzeilen Sicherheit Erweitert & HSTS WP ». So passen Sie die Kopfzeilen an
  5. Sie können diese Option jederzeit ändern, Headers Security Advanced & HSTS WP wird automatisch eingestellt.

FAQ

Comment obtenir une note A+ ?

Pour obtenir la note A+, votre site doit émettre tous les en-têtes de réponse HTTP que nous vérifions. Cela indique un haut niveau d’engagement à améliorer la sécurité de vos visiteurs.

Quels sont les en-têtes recommandés ?

Pour une connexion HTTP, nous obtenons Content-Security-Policy, X-Content-Type-Options, X-Frame-Options et X-XSS-Protection. Via une connexion HTTPS, la présence de deux en-têtes supplémentaires est vérifiée, à savoir Strict-Transport-Security et Public-Key-Pins.

L’extension peut-elle ralentir le site ?

Non, Headers Security Advanced & HSTS WP est rapide, sécurisé et n’affecte pas le référencement et la vitesse de votre site web.

Qu’est-ce que HSTS (Strict Transport Security) ?

Il a été créé comme solution pour forcer le navigateur à utiliser des connexions sécurisées lorsqu’un site fonctionne en HTTPS. Il s’agit d’un en-tête de sécurité qui est ajouté au serveur Web et qui se reflète dans l’en-tête de réponse sous la forme Strict-Transport-Security. HSTS est important car il permet de remédier aux anomalies suivantes :

Contrôle avant et après l’utilisation de Preload HSTS

Cette étape est importante pour soumettre votre site Web et/ou votre domaine à une liste HSTS approuvée. Google compile officiellement cette liste et elle est utilisée par Chrome, Firefox, Opera, Safari, IE11 et Edge. Vous pouvez faire suivre votre site au répertoire officiel de préchargement HSTS. (‘https://hstspreload.org/’)

Comment utiliser HTTP Strict Transport Security (HSTS) ?

Si vous souhaitez utiliser Preload HSTS pour votre site, vous devez remplir quelques conditions avant de pouvoir l’activer.

  • Disposer d’un certificat SSL valide. Vous ne pouvez rien faire de tout cela sans lui.
  • Vous devez rediriger tout le trafic HTTP vers HTTPS (recommandé via des redirections 301 permanentes). Cela signifie que votre site doit être uniquement en HTTPS.
  • Vous devez également servir tous les sous-domaines en HTTPS. Si vous avez des sous-domaines, vous aurez besoin d’un certificat SSL.

L’en-tête HSTS de votre domaine de base (par exemple : exemple.com) est déjà configuré ; il vous suffit d activer l’extension.

Si vous souhaitez vérifier l’état HSTS de votre site, vous pouvez le faire ici : https://hstspreload.org/

Puis-je signaler un bogue ou demander une fonctionnalité ?

You can report bugs or request new features right support@tentacleplugins[dot]com

Désactiver FLoC, la technologie publicitaire de Google

FLoC est un méga-traqueur qui surveille l’activité des internautes sur tous les sites, stocke les informations dans le navigateur, puis utilise l’apprentissage automatique pour placer les internautes dans des cohortes ayant des intérêts similaires. De cette façon, les annonceurs peuvent cibler des groupes de personnes ayant des intérêts similaires. De plus, selon les propres tests de Google, FLoC permet d’obtenir au moins 95 % de conversions en plus que les cookies.

Qui désactive FLoC par Google ?

Scott Helme a signalé qu’à la date du 3 mai, 967 domaines sur un million avaient déjà désactivé le raccourci d’intérêt de FLoC dans leur en-tête Permissions-Policy. Cette liste comprend des sites importants comme The Guardian et IKEA.

Do you use CloudFlare and the Headers Security Advanced & HSTS WP plugin?

Are you experiencing any anomalies after a plugin update? If yes, please follow these instructions: clear the cache directly to the CloudFlare Client Area

  • Log in to your Cloudflare dashboard, and select your account and domain.
  • Select Caching > Configuration.
  • Under Cache Purge, select Custom Purge. The custom purge window will be displayed.
  • Under Purge by, select URL.
  • Enter the appropriate values in the text field using the format shown in the example.
  • Run through the additional instructions to complete the form.
  • Review the data entered.
  • Click Delete.

This will cause the cloudFlare

Avis

27 mars 2024
I went to securityheaders and scanned my site. Then installed the Headers Security Advanced & HSTS WP plugin and immediately improved my grade from a D to an A+. Thank you!
1 mars 2024
This plugin is very easy to install/configure and does perfectly the job. I check the security headers thanks « securityheaders by probely » and previously my site has a F grade and now with this plugin I get an A+. Wondefrful, you are awesome, thanks so much.
12 février 2024
I lover it because it is totally free and it doesn’t have an expensive pro version.
31 janvier 2024
Many thanks for offering this tool for free and giving people the option to handle these security settings without having to go to htaccess.
Lire les 53 avis

Contributeurs/contributrices & développeurs/développeuses

« Headers Security Advanced & HSTS WP » est un logiciel libre. Les personnes suivantes ont contribué à cette extension.

Contributeurs

“Headers Security Advanced & HSTS WP” a été traduit dans 4 locales. Remerciez l’équipe de traduction pour ses contributions.

Traduisez « Headers Security Advanced & HSTS WP » dans votre langue.

Le développement vous intéresse ?

Parcourir le code, consulter le SVN dépôt, ou s’inscrire au journal de développement par RSS.

Journal

5.0.36

We don’t want to tell you what to do, but here’s the point: if you’ve updated the Headers Security Advanced & HSTS WP plugin last time, you’ve seen that when we suggest doing so, we don’t just say it and leave it at that. Well, with this 5.0.36 version we’ve added and fixed a lot (we got rid of some bugs, tidied up some pesky pixels and updated the graphics) and it all works great. Are we agreed? Touch « update » and we’ll provide you with the most beautiful, fastest, and most impressive plugin around. Enjoy!
– New: The plugin is now fully compatible with WordPress 6.5. I commitment to maintain compatibility with the latest versions of WordPress to ensure that your site runs smoothly;
– New: In the most recent version, I have introduced a new feature that allows you to fix duplicate headers in one click. This option is designed to give you more control and avoid the « duplicate headers » warning;
– Upgrade: Fixed the bug that could delete the plugin rules of the header customization function (X-Frame-Options and Permissions-Policy), this was caused by the customization of ALLOW-FROM Fixed the bug that could delete the plugin rules of the header customization function (X-Frame-Options and Permissions-Policy), this was caused by the customization of ALLOW-FROM;
– Delete: deleted the ‘X-XSS-Protection’ header because this functionality is no longer in the standards path.