--- schema_version: "1" id: 0becd4af63bbf7c2435ff89f1866589b5dc76f684897ceb767e22ab92496b784 title: En-têtes de réponse HTTP collection: tableau version: current locale: fr-fr portal_url: https://docs.salesforce.com/tableau/current/fr-fr/server/security_http_headers.md canonical_url: https://help.tableau.com/current/server/fr-fr/security_http_headers.htm source_site: help.tableau.com content_type: documentation content_hash: 83e6c6ef3d948e15bbe34b4b84df4a9c44384f50670999431071b4593a158110 description: Configure HTTP response headers such as HSTS and Referrer-Policy on Tableau Server. --- [Passer au contenu principal](#main-content) # En-têtes de réponse HTTP Tableau Server prend en charge certains des en-têtes de réponse spécifiés dans le [projet En-têtes sécurisés de l’OWASP](https://owasp.org/www-project-secure-headers/#div-headers). Cette rubrique explique comment configurer les en-têtes de réponse suivants pour Tableau Server : - HTTP Strict Transport Security (HSTS) - Referrer-Policy - X-Content-Type-Options - X-XSS-Protection Tableau Server prend également en charge la norme CSP (Content Security Policy). La configuration de la norme CSP n’est pas décrite dans cette rubrique. Consultez [Stratégie de sécurité du contenu](https://help.tableau.com/current/server/fr-fr/security_csp.htm) . ## Configuration des en-têtes de réponse Tous les en-têtes de réponse sont configurés avec la commande [tsm configuration set](https://help.tableau.com/current/server/fr-fr/cli_configuration_tsm.htm#TSMSet). Une fois que vous avez fini de configurer les en-têtes de réponse, exécutez [tsm pending-changes apply](https://help.tableau.com/current/server/fr-fr/cli_pending-changes.htm#pending-changes-apply). Si les modifications en attente nécessitent un redémarrage du serveur, la commande `pending-changes apply` affichera une invite pour vous informer qu’un redémarrage va avoir lieu. Cette invite s’affiche même si le serveur est arrêté, mais dans ce cas, il n’y a pas de redémarrage. Vous pouvez supprimer l’invite à l’aide de l’option `--ignore-prompt`, mais cela ne modifiera pas le comportement de redémarrage. Si les modifications ne nécessitent pas de redémarrage, les modifications sont appliquées sans invite. Pour plus d’informations, consultez [tsm pending-changes apply](https://help.tableau.com/current/server/fr-fr/cli_pending-changes.htm#pending-changes-apply). ## HTTP Strict Transport Security (HSTS) HSTS oblige les clients qui se connectent à Tableau Server à se connecter via HTTPS. Pour plus d’informations, consultez l’entrée OWASP [HTTP Strict Transport Security (HSTS)](https://owasp.org/www-project-secure-headers/#div-headers). ### Options gateway.http.hsts Valeur par défaut : `false` L’en-tête HTTP Strict Transport Security (HSTS) force les navigateurs à utiliser HTTPS sur le domaine où il est activé. gateway.http.hsts\_options Valeur par défaut : `"max-age=31536000"` Par défaut, la stratégie HSTS est configurée pour une année (31 536 000 secondes). Cette période spécifie la durée pendant laquelle le navigateur accédera au serveur via HTTPS. ## Referrer-Policy Depuis 2019.2, Tableau Server inclut la possibilité de configurer le comportement de l’en-tête HTTP Referrer-Policy. Cette stratégie est activée avec un comportement par défaut qui inclut l’URL d’origine pour toutes les connexions « secure as » (`no-referrer-when-downgrade`). Dans les versions précédentes, l’en-tête Referrer-Policy n’était pas inclus dans les réponses envoyées par Tableau Server. Pour plus d’informations sur les différentes options de stratégie prises en charge par Referrer-Policy, consultez l’entrée OWASP [Referrer-Policy](https://owasp.org/www-project-secure-headers/#div-headers). ### Options gateway.http.referrer\_policy\_enabled Valeur par défaut : `true` Pour exclure l’en-tête Referrer-Policy des réponses envoyées par Tableau Server, définissez cette valeur sur `false`. gateway.http.referrer\_policy Valeur par défaut : `no-referrer-when-downgrade` Cette option définit la stratégie de référent pour Tableau Server. Vous pouvez spécifier n’importe laquelle des chaînes de valeur de police listées dans le tableau [Referrer-Policy](https://owasp.org/www-project-secure-headers/#div-headers) sur la page OWASP. ## X-Content-Type-Options L’en-tête HTTP de réponse X-Content-Type-Options spécifie que le type MIME dans l’en-tête Content-Type ne devrait pas être modifié par le navigateur. Dans certains cas où le type MIME n’est pas spécifié, un navigateur peut tenter de déterminer le type MIME en évaluant les caractéristiques de la charge active. Le navigateur affiche alors le contenu en conséquence. Ce processus est appelé « sniffing » (détection). L’interprétation erronée du type MIME peut générer des vulnérabilités de sécurité. Pour plus d’informations, consultez l’entrée OWASP [X-Content-Type-Options](https://owasp.org/www-project-secure-headers/#div-headers). ### Option gateway.http.x\_content\_type\_nosniff Valeur par défaut : `true` L’en-tête HTTP X-Content-Type-Options est défini par défaut sur « nosniff » avec cette option. ## X-XSS-Protection L’en-tête de réponse HTTP X-XSS-Protection est envoyé au navigateur afin d’activer la protection XSS (scripts inter-sites). L’en-tête de réponse X-XSS-Protection écrase les configurations dans les cas où les utilisateurs ont désactivé la protection XXS dans le navigateur. Pour plus d’informations, consultez l’entrée OWASP [X-XSS-Protection](https://owasp.org/www-project-secure-headers/#div-headers). ### Option gateway.http.x\_xss\_protection Valeur par défaut : `true` L’en-tête de réponse X-XSS-Protection est activé par défaut avec cette option. ## Autres articles de cette section