C04-T007 · En-têtes HTTP de sécurité

X-Content-Type-Options

nosniff empêche le navigateur d’interpréter certaines ressources sous un type différent de celui annoncé.

Comment lire le résultat

Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.

Ce qu’il faut corriger

Ajoutez l’en-tête au vhost nginx puis vérifiez que les ressources ont des Content-Type corrects.

Étapes de correction

Dans le rapport, ouvrez le contrôle C04-T007 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
Ouvrez Plesk > Domaines > Apache & nginx > Directives nginx supplémentaires et notez sa configuration actuelle.
Ajoutez l’en-tête au vhost nginx puis vérifiez que les ressources ont des Content-Type corrects.
Vérifiez le parcours concerné et relancez C04-T007 dans AxiSecurity.

Preuve attendue

comparez les en-têtes réels de la page publique et d’une page connectée.

Exemple de configuration

add_header X-Content-Type-Options "nosniff" always;

Vérifier la correction

Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.

curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^x-content-type-options:'