Si notre audit signale « HSTS non activé », votre site n'indique pas encore aux navigateurs qu'il doit toujours être ouvert en HTTPS.
Ce que HSTS apporte
- Après la première visite, le navigateur n'ouvre plus votre site qu'en mode chiffré – même si quelqu'un tape « http:// » ou suit un ancien lien.
- Cela protège les formulaires, demandes et comptes de vos clients, par exemple pour un essai ou un rendez-vous atelier.
- Cela économise une redirection et quelques millisecondes de chargement.
À vérifier d'abord
N'activez HSTS que si toutes les pages fonctionnent en HTTPS. Avec « inclure les sous-domaines », cela vaut aussi pour shop., portal., mail. etc. Les navigateurs mémorisent HSTS pour la durée choisie – un retour rapide au HTTP n'est alors plus possible.
Activer dans Cloudflare
- Cloudflare → votre domaine → SSL/TLS → Edge Certificates.
- Sous HTTP Strict Transport Security (HSTS), cliquez sur « Enable HSTS » et confirmez.
- Choisissez d'abord un max-age court (p. ex. 1 mois), puis passez à 6–12 mois.
- N'activez « Include subdomains » que si tous les sous-domaines ont HTTPS. Laissez « Preload » désactivé pour l'instant.
Sans Cloudflare
Sur votre propre serveur, HSTS se règle comme en-tête de réponse, par exemple dans la configuration Apache ou Nginx. Votre hébergeur – ou nous – pouvons vous aider.
Vérifiez ensuite avec le vérificateur HSTS ou un audit complet. Démarrer un projet