Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Cookie sans protections (session : Secure, SameSite). Un cookie sans Secure peut partir en clair, sans HttpOnly il est lisible par un script injecté, sans SameSite il part avec les requêtes d'autres sites. Corrige-le dans le code ou la configuration du projet : Ajoutez Secure, HttpOnly et SameSite=Lax aux cookies de session. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.

Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : En-tête Strict-Transport-Security absent (https://boutique-martin.fr). Sans cet en-tête, le navigateur peut encore ouvrir la version non chiffrée du site. Corrige-le dans le code ou la configuration du projet : Ajoutez l'en-tête Strict-Transport-Security: max-age=31536000; includeSubDomains. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.

Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Le site reste accessible sans HTTPS (http://boutique-martin.fr/). La version http:// ne renvoie pas vers https:// : sur un Wi-Fi public, quelqu'un peut lire ou modifier ce que voit le visiteur. Corrige-le dans le code ou la configuration du projet : Activez la redirection automatique vers HTTPS dans les réglages de votre hébergeur. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.

Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Code source publié avec les cartes de source (https://boutique-martin.fr/_next/static/chunks/main.js.map). Les fichiers .map permettent de reconstruire le code source d'origine, commentaires compris. Corrige-le dans le code ou la configuration du projet : Désactivez les source maps en production (par exemple productionBrowserSourceMaps: false, build.sourcemap: false) ou réservez-les à votre outil de suivi d'erreurs. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.

Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : En-tête Content-Security-Policy absent (https://boutique-martin.fr). Cet en-tête limite les scripts que la page peut charger : il réduit beaucoup l'effet d'une faille XSS. Corrige-le dans le code ou la configuration du projet : Ajoutez une politique Content-Security-Policy, en commençant par default-src 'self' puis les domaines dont vous avez besoin. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.

Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Le site peut être affiché dans un cadre d'un autre site (https://boutique-martin.fr). Un autre site peut afficher le vôtre en transparence et faire cliquer vos visiteurs à leur insu (clickjacking). Corrige-le dans le code ou la configuration du projet : Ajoutez Content-Security-Policy: frame-ancestors 'self' (ou X-Frame-Options: DENY). Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.

Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : En-tête Referrer-Policy absent (https://boutique-martin.fr). L'adresse complète des pages (avec ses paramètres) peut partir vers les sites que vos pages appellent. Corrige-le dans le code ou la configuration du projet : Ajoutez l'en-tête Referrer-Policy: strict-origin-when-cross-origin. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.

Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Pas de fichier security.txt (https://boutique-martin.fr). Quelqu'un qui trouve une faille ne sait pas à qui l'écrire. Pour un produit vendu dans l'UE, le Cyber Resilience Act demande un contact pour signaler les vulnérabilités. Corrige-le dans le code ou la configuration du projet : Publiez /.well-known/security.txt avec au moins une ligne Contact: et une ligne Expires: (RFC 9116). Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.