En-têtes de sécurité : Les en‑têtes de réponse que voient les moteurs de recherche et les utilisateurs.

Les en-têtes de sécurité sont un petit ensemble de directives d'en-tête de réponse qui décident de ce qu'un navigateur autorisera sur vos pages. Ils ne coûtent rien à ajouter, s'appliquent à l'ensemble du site et sont visibles par quiconque inspecte une réponse, y compris les personnes évaluant si votre site est digne de confiance. Leur valeur est concrète. HSTS supprime la première requête en texte clair qui rend possibles les attaques de downgrade. Une Content-Security-Policy limite les origines pouvant exécuter des scripts, contenant un script injecté plutôt que de le laisser lire chaque page sur laquelle il atterrit. X-Frame-Options et frame-ancestors empêchent vos pages d'être encadrées par un site qui superpose ses propres contrôles sur les vôtres. X-Content-Type-Options empêche un navigateur de deviner qu'un fichier téléchargé est exécutable JavaScript. Referrer-Policy et Permissions-Policy contrôlent ce qui quitte la page : quelles URL voyagent dans l'en-tête Referer, et quelles API de périphérique le contenu embarqué peut demander. La connexion à la recherche est indirecte et réelle. Un site compromis par un script injecté commence à servir des pages qui ne sont pas les vôtres, et les moteurs de recherche réagissent rapidement, d'abord avec des avertissements dans les résultats puis avec la suppression. La récupération prend beaucoup plus de temps que la configuration ne le suggérerait. Ces vérifications lisent les en-têtes sur la réponse de votre page d'accueil. La plupart des sites peuvent ajouter chacun d'eux en un seul changement à la périphérie.