STATUS IS UPPRÉPARATION DES SITES WEB
Français
Espace propriétaire
Explorer SIU

Contrôle de préparation · Axe Renforcer · Poids 7

HSTS conservé pendant au moins un an

La page d’accueil envoie Strict-Transport-Security avec une valeur max-age d’au moins 31536000 secondes (un an).

Observé sur
31%

sur 144,624 sites mesurés

Sites du top 1K
48%

286 mesurés

Tranche du top 1M
27%

79,142 mesurés

Non mesuré
41,432

bloqué, soumis à un défi de validation ou non applicable

Pourquoi c’est important

HSTS indique aux navigateurs d’utiliser HTTPS pour votre hôte lors de chaque visite ultérieure, ce qui supprime la fenêtre pendant laquelle une première requête HTTP peut être interceptée.

Comment apporter la correction

Envoyez Strict-Transport-Security dans les réponses HTTPS. Commencez par une valeur max-age courte (par exemple 300 secondes), vérifiez que chaque sous-domaine fonctionne en HTTPS, puis augmentez-la par étapes jusqu’à 31536000. Ajoutez includeSubDomains uniquement lorsque tous les sous-domaines utilisent HTTPS. Le préchargement HSTS est facultatif et difficile à annuler ; hstspreload.org lui-même ne le recommande pas par défaut.

Notre méthode de contrôle

La page d’accueil envoie Strict-Transport-Security avec une valeur max-age d’au moins 31536000 secondes (un an).

Observé : HSTS présent avec une valeur max-age d’un an ou plus.

Non observé : HSTS absent ou défini sur une durée inférieure à un an.

Limite : lecture effectuée uniquement à partir de la réponse de la page d’accueil ; d’autres pages ou régions peuvent envoyer des en-têtes différents.

Étapes propres à chaque pile technologique

  • Cloudflare : Activez HSTS dans SSL/TLS > Certificats de périphérie > HTTP Strict Transport Security et augmentez progressivement max-age.
  • Amazon CloudFront : Associez à chaque distribution une politique d’en-têtes de réponse contenant Strict-Transport-Security.
  • Next.js : Ajoutez l’en-tête dans l’option headers() de next.config.js pour toutes les routes.
  • Fastly : Ajoutez l’en-tête dans VCL ou dans une règle d’en-tête, comme décrit dans le guide HSTS de Fastly.
  • Azure Front Door/CDN : Ajoutez une action d’en-tête de réponse dans un ensemble de règles Front Door.
  • Vercel : Déclarez l’en-tête dans la section headers de vercel.json.

Par tranche de popularité

Tranche Chrome UX ReportObservéMesuré
1 000 premiers48%286
5 000 premiers39%1,309
10 000 premiers40%1,653
50 000 premiers36%12,752
100 000 premiers36%12,036
500 000 premiers35%37,446
1 million de premiers27%79,142

Catégories les plus susceptibles de le faire

Catégories les moins susceptibles de le faire

Par pile technologique

Par fournisseur

Sites populaires sur lesquels nous avons observé ce comportement

Sources et guides

Guide : Guide HTTPS et TLS pour propriétaires de sitesVérifiez votre propre site