Vérificateur d'en-têtes de réponse HTTP

Le protocole HTTP Strict Transport Security (HSTS) avec la directive preload indique aux navigateurs de refuser les connexions HTTP non chiffrées et d'interdire le contournement des erreurs de certificat. Lorsqu'un invité se connecte au WiFi et tente d'ouvrir un domaine préchargé HSTS (comme google.com), l'interception HTTP du contrôleur sans fil ne peut pas présenter de certificat valide pour ce domaine. Le navigateur affiche alors un avertissement SSL bloquant au lieu de rediriger vers le portail captif. Les réseaux modernes utilisent l'API de portail captif RFC 8908 ou les domaines de test de portail captif d'Apple/Android (comme captive.apple.com) qui omettent intentionnellement le HSTS.

Les pages de démarrage de portail captif nécessitent une CSP équilibrée qui autorise les ressources d'authentification essentielles tout en empêchant le cross-site scripting (XSS). La politique doit autoriser les scripts et les styles provenant de CDN de confiance et de fournisseurs d'identité de connexion sociale (tels que Google, Apple et Microsoft), tout en restreignant default-src à 'self' et en interdisant l'exécution de scripts inline non approuvés. De plus, les domaines de redirection d'authentification sociale doivent être autorisés dans le Walled Garden du contrôleur réseau.

L'en-tête X-Frame-Options: DENY ou SAMEORIGIN (ainsi que la directive moderne CSP frame-ancestors) empêche les sites web tiers malveillants d'afficher le formulaire de connexion du portail captif dans une iframe invisible. Cela élimine les attaques par clickjacking où les attaquants incitent les visiteurs à soumettre leurs identifiants de connexion ou leurs jetons d'autorisation sociale.

Une redirection HTTP 302 Found est couramment utilisée par les contrôleurs réseau existants pour rediriger les requêtes HTTP initiales vers l'URL de la page de démarrage, mais les clients peuvent remplacer les requêtes POST par des requêtes GET. Une redirection HTTP 307 Temporary Redirect garantit que la méthode HTTP et le corps de la requête restent inchangés pendant la redirection. Pour les réseaux captifs modernes, la RFC 8908 fournit un point de terminaison JSON standardisé qui élimine complètement l'interception HTTP.

L'en-tête X-Content-Type-Options: nosniff force les navigateurs à respecter strictement le type MIME déclaré dans l'en-tête Content-Type. Cela empêche les attaques par MIME-sniffing où des fichiers téléchargés par l'utilisateur ou des fragments de texte malveillants sont exécutés en tant que JavaScript ou CSS exécutables dans des navigateurs vulnérables.

Permissions-Policy (anciennement Feature-Policy) permet aux exploitants de sites de désactiver les API matérielles sensibles telles que la caméra, le microphone, la géolocalisation et les demandes de paiement dans le contexte du navigateur. La désactivation des fonctionnalités d'appareil inutilisées sur les pages de destination WiFi invité rassure les visiteurs sur le fait que le portail respecte les normes de confidentialité des données.