L’extension Headers Security Advanced & HSTS WP est actuellement incluse dans WPDistrib pour assurer une protection renforcée via des en-têtes HTTP.
Elle ajoute automatiquement les principaux headers de sécurité nécessaires à un site WordPress moderne.
Mais dans une logique de veille active, WPDistrib cherche à challenger régulièrement ses choix techniques.
Cette recherche d’alternatives ne répond pas à une faiblesse constatée, mais à une volonté de comparer d’autres solutions gratuites, pour potentiellement améliorer encore la distribution.
Comprendre pourquoi les en-têtes HTTP sont importants
Les en-têtes HTTP (ou headers) sont des instructions techniques envoyées par le serveur au navigateur. Ils permettent de définir certaines règles de sécurité, comme forcer l’utilisation du HTTPS, interdire l’exécution de scripts non autorisés ou empêcher l’affichage du site dans une iframe.
WordPress, en natif, n’ajoute pas ces en-têtes. Leur configuration repose donc sur l’hébergement ou sur des extensions. Voici quelques headers typiques :
- Strict-Transport-Security (HSTS) : sécurise le protocole HTTPS sur le long terme.
- X-Frame-Options : empêche l’intégration du site dans une iframe.
- X-Content-Type-Options : évite les interprétations dangereuses de types de fichiers.
- X-XSS-Protection : active une protection contre certains scripts malveillants.
Ces en-têtes n’ont aucun impact visuel, mais ils sont essentiels pour durcir la surface d’attaque d’un site WordPress.
Quelles extensions gratuites sont comparées ici ?
Dans cette première phase de test (réalisée sur tastewp.com), trois extensions ont été sélectionnées :
- Really Simple SSL
- WP Force SSL & HTTPS Redirect
- HTTP Headers
Les autres solutions identifiées initialement ont été écartées : certaines ne sont plus référencées, d’autres sont trop anciennes ou obsolètes.
Ce que montrent les premiers tests avec TasteWP.com
Les trois extensions ont été installées sur un site vierge, sans autre plugin actif, afin de détecter leurs comportements réels et les éventuels blocages. Voici le bilan :
Really Simple SSL
- Affiche une interface engageante, mais presque toutes les fonctionnalités avancées sont bloquées dans la version Pro.
- ❌ L’ajout d’en-têtes de sécurité reste limité ou inexistant sans mise à jour payante.
- Le passage au HTTPS est aujourd’hui systématiquement assuré lorsqu’on installe correctement un certificat SSL sur son hébergement. Il s’agit d’une étape obligatoire, notamment pour le référencement.
- Conclusion : ne présente pas d’intérêt pour un site WordPress déjà configuré en HTTPS.
WP Force SSL & HTTPS Redirect
- Propose un test du certificat SSL et une redirection vers HTTPS.
- ❌ Ne permet aucune gestion de headers HTTP en version gratuite.
- Des erreurs PHP ont été détectées lors des tests avec FreeSoul (Activity Testing), ce qui pose un problème de fiabilité.
- Conclusion : instable et inutile dans un environnement sécurisé.
HTTP Headers
- Offre une interface simple pour activer manuellement les en-têtes HTTP les plus connus.
- ✅ Permet de configurer HSTS, X-Frame-Options, X-XSS-Protection, et bien d’autres.
- Fonctionne sans erreur, aucun conflit détecté lors des tests.
- Le seul bémol : aucune aide visuelle n’est fournie, ce qui suppose une bonne compréhension des paramètres.
- Conclusion : solution robuste, compatible, mais à manipuler avec prudence.
🌀 HTTP Headers est une alternative crédible, mais ne surpasse pas l’existant
Parmi les trois extensions testées, HTTP Headers se distingue comme une alternative techniquement solide, compatible et gratuite. Elle offre une couverture fonctionnelle proche de l’extension actuellement utilisée dans WPDistrib. Toutefois, elle ne propose pas de réelle simplification, ni de couverture supérieure à celle déjà en place.
Aucune des alternatives testées ne justifie aujourd’hui un remplacement de Headers Security Advanced & HSTS WP.