Strict-Transport-Security max-age =31536000; preload ; includeSubDomains Légitime Déclarez qu'un site web n'est accessible que dans le cadre d'une connexion sécurisée (HTTPS). X-Frame-Options DENY Légitime Indiquez si un navigateur doit être autorisé à afficher une page dans un <frame>, <iframe>, <embed> ou <object>. X-Content-Type-Options nosniff Légitime Indiquez que les types MIMES affichés dans les en-têtes Content-type doivent être suivis et non modifiés. Content-Security-Policy default-src 'self' data: blob:; script-src 'unsafe-inline' *.facebook.com *.fbcdn.net *.whatsapp.com *.whatsapp.net https://*.facebook.net 'self' data: blob:; style-src 'self' 'unsafe-inline' data: blob: * https://fonts.googleapis.com; connect-src 'self' https://*.whatsapp.com data: blob:; font-src https://*.fbcdn.net https://static.whatsapp.net data: https://fonts.gstatic.com; img-src *; frame-src whatsapp: 'self' data: blob:; block-all-mixed-content ; upgrade-insecure-requests ; Légitime Contrôlez les ressources que l'agent utilisateur est autorisé à charger pour une page donnée. Referrer-Policy — Légitime Contrôlez la quantité d'informations de référence à inclure avec les requêtes. Clear-Site-Data — Légitime Contrôlez les données stockées par un navigateur client pour les serveurs d'origine. X-Permitted-Cross-Domain-Policies — Légitime Contrôlez si un client web tel que Adobe Flash Player ou Adobe Acrobat dispose de l'autorisation nécessaire pour manipuler les données parmi les domaines. Permissions-Policy accelerometer =(); attribution-reporting =(); autoplay =(); bluetooth =(); camera =(); ch-device-memory =(); ch-downlink =(); ch-dpr =(); ch-ect =(); ch-rtt =(); ch-save-data =(); ch-ua-arch =(); ch-ua-bitness =(); ch-viewport-height =(); ch-viewport-width =(); ch-width =(); clipboard-read =(); clipboard-write =(); compute-pressure =(); display-capture =(); encrypted-media =(); fullscreen =(self); gamepad =(); geolocation =(); gyroscope =(); hid =(); idle-detection =(); interest-cohort =(); keyboard-map =(); local-fonts =(); magnetometer =(); microphone =(); midi =(); otp-credentials =(); payment =(); picture-in-picture =(); private-state-token-issuance =(); publickey-credentials-get =(); screen-wake-lock =(); serial =(); shared-storage =(); shared-storage-select-url =(); private-state-token-redemption =(); usb =(); unload =(self); window-management =(); xr-spatial-tracking =(); report-to ="permissions_policy"Nouveau Autoriser et refuser l'utilisation des fonctionnalités du navigateur dans un document ou un iframe. Cross-Origin-Embedder-Policy — Nouveau Configurez l'intégration des ressources d'origines croisées dans le document. Cross-Origin-Opener-Policy same-origin-allow-popups Nouveau Vérifiez qu'un document de niveau supérieur ne partage pas de groupe de contexte de navigation avec des documents d'origines croisées. Cross-Origin-Resource-Policy cross-origin Nouveau Demandez à ce que le navigateur bloque les requêtes d'origines croisées/sites croisés qui ne sont pas de type CORS pour la ressource donnée. X-XSS-Protection 0 Obsolète Obsolète. Empêche le chargement des pages en cas de détection d'attaques par réflexion de type cross-site scripting (XSS) Feature-Policy — Obsolète Obsolète. Remplacement par l'en-tête Autorisations-Politique. Expect-CT — Obsolète Obsolète. Choix volontaire de signaler ou appliquer les exigences de transparence de certificat. Public-Key-Pins — Obsolète Obsolète. Permet aux sites web HTTPS de résister à l'usurpation d'identité par des acteurs malveillants qui utiliseraient des certificats frauduleux ou émis de manière indue.