HTTP headers to improve web site security

Description

Cette extension permet de configurer les différentes instructions d’en-tête incluses dans le protocole HTTP, ce qui permet une amélioration simple de la sécurité de votre site.

Cette extension permet d’activer les mesures suivantes :

  • HSTS (Strict-Transport-Security)
  • CSP (Content-Security-Policy / Politique de Sécurité du Contenu)
  • Mitigation du clickjacking (X-Frame-Options sur le site principal)
  • Protection XSS (X-XSS-Protection)
  • Désactivation du reniflage de contenu (X-Content-Type-Options)
  • Politique de référence
  • Expect-CT
  • Retirer l’information sur la version PHP utilisée de l’en-tête HTTP
  • Retirer l’information sur la version WordPress utilisée de l’en-tête HTTP

securityheaders.com est une source utile pour évaluer la sécurité de votre site web.

Comme toujours, assurez-vous de comprendre la signification de ces options et de faire des tests exhaustifs car certaines options peuvent engendrer un blocage de votre site.

Captures d’écran

  • Écran des réglages généraux
  • Écran des paramètres de la directive Content-Security-Policy.
  • Ecran de contu du .htaccess.

Installation

  1. Téléchargez les fichiers de l’extension dans le répertoire /wp-content/plugins/http-security ou installez directement l’extension via l’écran des extensions WordPress.
  2. Activez l’extension via l’écran « Extensions » dans WordPress.
  3. Utilisez l’écran Réglages -> HTTP Security pour configurer l’extension.

FAQ

Comment savoir que l’extension fonctionne correctement ?

Vérifiez les en-têtes HTTP de votre site web.

Avis

8 juillet 2019
If I could, I would give you 10 stars and dance at your wedding. You just saved me HOURS of work trying to figure out how to secure my site. After two hacks, I had enough and started securing it on my own. To slow and labor intensive (W3C school). Literally took me not even 5 minutes. So, THANK YOU, THANK YOU, THANK YOU.
30 mai 2019
Really easy to set up, a lot of different options but still not hard to get into. The plugin does exactly what it is meant to do and does a great job at it! Adding a CSP to your site is only a matter of minutes with the plugin, but is a great addition to make your website secure against a lot of different attacks. Thanks a lot for the plugin!
4 mars 2019
I've used this to implement http security headers on my WordPress site. Very easy to use and get good scores on evaluation sites. Content Security Policy seems to be an emerging technique to improve security. Its easy to implement using this plugin. Only one problem I've noticed: When I input data in the box for base-uri: and then check with Google CSP Evaluator it shoes all of the CSP values except for base-uri where it shows "base-uri;" regards of what's entered in the plugin. Base-uri doesn't fall back to the default-src directive so this shows up as an issue. Still deserves 5 stars for its ease of use.
22 juin 2018
I really like this plugin. I tried others for CSP and I chose this over the others for its ease of use. CSP is complicated enough. By using this plugin it is easier to implement a content security policy and security headers on WordPress. I highly recommend this plugin. Thanks for taking the time to make this plugin.
9 mai 2018
Perfect plugin for the job it needs to do. The developer is great as well!
Lire les 8 avis

Contributeurs & développeurs

« HTTP headers to improve web site security » est un logiciel libre. Les personnes suivantes ont contribué à cette extension.

Contributeurs

“HTTP headers to improve web site security” a été traduit dans 6 locales. Remerciez l’équipe de traduction pour ses contributions.

Traduisez « HTTP headers to improve web site security » dans votre langue.

Le développement vous intéresse ?

Parcourir le code, consulter le SVN dépôt, ou s’inscrire au journal de développement par RSS.

Journal

2.5

  • Ajout du support de Feature-Policy

2.4.2

  • Testé avec WordPress 5.0

2.4

  • Ajout des instructions .htaccess

2.3.2

  • Testé avec WordPress 4.9

2.3

  • Ajout du support de Expect-CT
  • Amélioration de l’interface

2.2

  • Passage aux packs de langues

2.1

  • Ajout du support de la directive de politique de référence.
  • Ajout d’un nettoyage de la base de données à la désinstallation

2.0

  • Ajout de support pour toutes les directives Content-Security-Policy
  • Refonte de l’interface utilisateur

1.11

  • Ajout de l’activation du mode x-frame-options

1.10.7

  • Suppression de l’en-tête HSTS lors d’une connexion en HTTP

1.10.3

  • Correction de l’avertissement de syntaxe HSTS

1.10

  • Ajout du support de Content Security Policy (Politique de Sécurité du Contenu)

1.9

  • Ajout de notifications de failles critiques

1.7.5

  • Ajout de l’option max-age aux paramètres du protocole HSTS

1.6

  • Ajout de l’option de suppression de la version de WordPress de l’en-tête HTTP

1.5

  • Ajout de l’option de suppression de la version de PHP de l’en-tête HTTP

1.4

  • Ajout du lien pour soumettre le site au préchargement de la part des navigateurs
  • Réduction de HSTS max-age à un an

1.3

  • Ajout de la protection X-Frame-Options.
  • Ajout de la protection Added X-Content-Type-Options.
  • Ajout des options HSTS.

1.1

  • Ajout de la protection XSS.

1.0

  • Première version stable incluant le support de base du protocole HSTS.