Mode d’emploi
- 1Saisissez une URL comme
https://example.com/page, ou simplement un domaine :https://est ajouté automatiquement. - 2Cliquez sur Vérifier les en-têtes. Chaque redirection est suivie étape par étape, jusqu’à 10 redirections.
- 3Lisez la chaîne de redirections : chaque étape affiche son code de statut, son adresse et son temps de réponse. Ouvrez une étape pour voir ses en-têtes.
- 4Passez en revue les en-têtes de sécurité et l’ensemble des en-têtes de réponse de la page finale, et copiez-les si vous devez les partager.
Ce que signifient les codes de statut HTTP
Chaque réponse commence par un code de statut à trois chiffres. 2xx signifie succès – 200 OK correspond à une page normale. Les codes 3xx sont des redirections qui envoient le navigateur ailleurs. Les codes 4xx sont des erreurs côté client, comme 404 Not Found ou 403 Forbidden, et les codes 5xx signifient que le serveur a échoué, comme 500 Internal Server Error ou 503 Service Unavailable.
Les en-têtes accompagnent le code de statut. Ils indiquent au navigateur la nature du contenu (Content-Type), combien de temps il peut être mis en cache (Cache-Control), quels cookies enregistrer (Set-Cookie) et bien plus encore – des informations que vous ne voyez jamais sur la page elle-même.
Redirections : 301, 302, 307 et 308
301 Moved Permanently et 308 Permanent Redirect indiquent aux navigateurs et aux moteurs de recherche qu’une page a déménagé définitivement : les liens et le référencement sont transférés à la nouvelle adresse. 302 Found et 307 Temporary Redirect signifient que le déplacement est temporaire et que l’ancienne URL reste dans les résultats de recherche. Les codes 307 et 308 garantissent en outre que la méthode de la requête ne change pas, ce qui compte pour les formulaires et les API.
Chaque étape supplémentaire coûte un aller-retour et ralentit la première visite : redirigez donc les anciennes URL directement vers leur adresse finale – http://example.com directement vers https://www.example.com/, sans passer par deux étapes. Google suit jusqu’à 10 redirections d’affilée et les navigateurs environ 20 ; les boucles, elles, ne s’arrêtent jamais.
Les en-têtes de sécurité à définir
Strict-Transport-Security (HSTS) oblige les navigateurs à utiliser HTTPS pour votre site, même si quelqu’un tape http://. Content-Security-Policy limite les sources depuis lesquelles les scripts et les autres ressources peuvent être chargés, ce qui atténue le cross-site scripting. X-Content-Type-Options: nosniff empêche les navigateurs de deviner le type des fichiers, et frame-ancestors ou X-Frame-Options empêche d’autres sites d’intégrer vos pages dans un cadre à des fins de clickjacking.
Referrer-Policy contrôle la part de vos URL transmise aux autres sites, et Permissions-Policy désactive les fonctionnalités du navigateur que vous n’utilisez pas, comme la caméra ou la géolocalisation. Aucun de ces en-têtes ne remplace un code sécurisé, mais ensemble ils comblent des failles courantes avec très peu d’efforts.
Questions fréquentes
Comment savoir si une redirection est une 301 ou une 302 ?
Saisissez l’ancienne URL et regardez la chaîne de redirections : chaque étape affiche son code de statut. Les codes 301 et 308 sont permanents, 302 et 307 temporaires. La chaîne indique aussi vers où pointe chaque redirection, ce qui permet de repérer les étapes superflues.
Comment voir les en-têtes HTTP d’un site web ?
Saisissez l’adresse ici : tous les en-têtes de réponse de la page finale sont listés à la fin. Dans un navigateur, ouvrez les outils de développement (F12), choisissez l’onglet Réseau et cliquez sur la première requête. Dans un terminal, curl -I https://example.com affiche les en-têtes.
Pourquoi cet outil affiche-t-il d’autres en-têtes que mon navigateur ?
Les serveurs peuvent répondre différemment selon la requête. Votre navigateur envoie des cookies, prend en charge la compression et possède son propre user-agent, et un CDN peut servir une copie en cache ou régionale. Cet outil envoie depuis notre serveur une requête simple, sans cookies, un peu comme le robot d’un moteur de recherche.
Qu’est-ce qui provoque une boucle de redirection ?
Les redirections ramènent à une adresse déjà visitée : le navigateur n’atteint jamais de page et affiche « trop de redirections ». Il s’agit généralement de deux règles qui se contredisent – par exemple un CDN qui redirige HTTP vers HTTPS pendant que le serveur redirige HTTPS vers HTTP – ou d’une redirection de connexion qui dépend d’un cookie.
Quels en-têtes de sécurité tout site web devrait-il avoir ?
Au minimum Strict-Transport-Security, X-Content-Type-Options: nosniff, une protection contre l’intégration dans un cadre avec frame-ancestors ou X-Frame-Options, et un Referrer-Policy. Une Content-Security-Policy offre la meilleure protection mais doit être testée : commencez par une politique report-only, puis passez en mode bloquant une fois que plus rien ne casse.