Cybersécurité externe · En-têtes de sécurité · règle CYB-HDR-06
Une politique de référent est déclarée
En bref : Referrer-Policy est déclarée.
Gravité : Mineure
Pourquoi c'est important
L'adresse exacte des pages consultées, paramètres compris, peut être transmise aux sites et services tiers.
L'écart tel que le rapport l'écrit : Aucune politique de référent (Referrer-Policy)
Comment corriger
Ajoutez Referrer-Policy: strict-origin-when-cross-origin.
Qui s'en charge : votre hébergeur · effort : quelques minutes
Pour votre développeur
En-tête à envoyer
Referrer-Policy: strict-origin-when-cross-originApache (mod_headers), dans le VirtualHost HTTPS
Header always set Referrer-Policy "strict-origin-when-cross-origin"Nginx 1.7.5 ou plus, dans le bloc server HTTPS (un add_header au niveau location annule ceux du niveau server)
add_header Referrer-Policy "strict-origin-when-cross-origin" always;La source
ANSSI, Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur, guide ANSSI-PA-009, version 2.0 du 28/04/2021, Section 5.4, recommandation R21
R21 Il est recommandé de définir une stratégie de construction de l'en-tête de requête HTTP Referer au travers de l'en-tête de réponse HTTP Referrer-Policy. La stratégie de construction de l'en-tête Referer par défaut ne doit pas être conservée et l'option unsafe-url ne doit pas être utilisée.
Source vérifiée le 04/11/2026. Le rapport constate un écart à cette règle ; il ne rend pas d'avis juridique.
Dans la même catégorie
Votre site respecte-t-il cette règle ?
L'audit vérifie ce point et les 84 autres, en quelques minutes, sans rien forcer.
29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.