En-têtes de sécurité et HTTPS
Définissez des en-têtes qui bloquent les attaques courantes.
En-têtes de sécurité et HTTPS est une leçon Flask Academy gratuite sur CoddyKit. Ceci est la leçon 3 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage Flask Academy, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours Flask Academy comprend 4 leçons au total.
Certaines parties de cette leçon n'ont pas encore été traduites et s'affichent en anglais.
Headers as a First Defense
A few response headers tell the browser how to behave safely. They are cheap to add and block whole classes of attacks.
Why HTTPS Is Non-Negotiable
Over plain HTTP, anyone on the path can read or change traffic. HTTPS encrypts it so passwords and tokens stay private.
Force HTTPS with HSTS
The Strict-Transport-Security header tells browsers to always use HTTPS for your domain, even if a user types http.
resp.headers["Strict-Transport-Security"] = "max-age=31536000"Stop MIME Sniffing
Browsers sometimes guess a file type and run it. X-Content-Type-Options: nosniff tells them to trust your declared type instead.
resp.headers["X-Content-Type-Options"] = "nosniff"Block Clickjacking
Attackers can hide your site in an invisible frame. X-Frame-Options: DENY stops your pages from being framed at all.
resp.headers["X-Frame-Options"] = "DENY"Content Security Policy
A Content-Security-Policy limits where scripts and styles may load from. It is the strongest single guard against injected scripts.
resp.headers["Content-Security-Policy"] = "default-src 'self'"Add Headers Everywhere
You set these on every response in one place. An after_request hook stamps the headers so you never forget a route.
@app.after_request
def secure(resp):
resp.headers["X-Frame-Options"] = "DENY"
return respLet a Library Help
Doing it by hand is error prone, so many teams reach for Flask-Talisman. It sets sensible security headers for you.
from flask_talisman import Talisman
Talisman(app)Mark Cookies Secure
Tell the browser to send cookies only over HTTPS with the Secure flag, and hide them from scripts with HttpOnly.
app.config["SESSION_COOKIE_SECURE"] = TrueHide Your Server Banner
Default error pages can leak versions. Trimming the Server header gives attackers one less hint about your stack.
Terminate TLS at the Edge
In production a proxy like Nginx usually handles the certificate. Flask trusts it via ProxyFix to read the real scheme and IP.
Quick Check
Identify the header that forces secure transport.
Recap
You enabled HTTPS, added HSTS, nosniff, frame, and CSP headers, secured cookies, and let Talisman help. You hardened the edge nicely!
Questions Fréquemment Posées
La leçon « En-têtes de sécurité et HTTPS » est-elle gratuite ?
Oui — le texte complet de « En-têtes de sécurité et HTTPS » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours Flask Academy, passe à CoddyKit PRO. Le cours Flask Academy comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « En-têtes de sécurité et HTTPS » ?
Définissez des en-têtes qui bloquent les attaques courantes. Tu pratiques Flask Academy avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer Flask Academy ?
Aucune expérience préalable n'est requise. Flask Academy sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 3 sur 4.
Combien de temps prend la leçon « En-têtes de sécurité et HTTPS » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon Flask Academy ?
Oui. Chaque leçon Flask Academy inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Limiter les requêtes avec Flask-Limiter
- Configurer CORS pour les clients de navigateur
- En-têtes de sécurité et HTTPS
- Valider les entrées pour empêcher les injections