En-têtes HTTP reçus par le serveur

À quoi sert ce test ?

Les en-têtes HTTP transmettent notamment langues, navigateur déclaré et contexte de chargement. Regardez ce que le serveur reçoit : un frontal peut ajouter, retirer ou modifier des champs. Ce n’est donc pas toujours ce que le navigateur a envoyé.

Comment procéder

1. Ouvrez la page dans le profil à examiner et conservez les réglages habituels. Notez si vous utilisez un proxy ou une extension qui modifie les requêtes.
2. Attendez la capture JavaScript. Rechargez pour observer les Client Hints supplémentaires éventuellement acceptés après la première navigation.
3. Comparez navigation, requête JavaScript et Client Hints accessibles dans la page. Les Client Hints sont des indications structurées sur le navigateur, disponibles selon ses politiques.

Ce qui est mesuré

Le serveur capture deux requêtes : le chargement HTML et un fetch JavaScript. La page lit séparément les indications disponibles côté navigateur et présente les différences entre captures.

Les valeurs sensibles prévues, notamment autorisation, cookies et jetons courants, sont masquées. Le module n’écrit pas de journal ; l’hébergeur ou les intermédiaires peuvent cependant journaliser les requêtes indépendamment.

Comprendre vos résultats

En-têtes présents et comparables

Le serveur reçoit ces champs pour les requêtes affichées. Une valeur de navigateur déclarée n’est pas une preuve de son identité réelle.

Différences entre les captures

Navigation et fetch ont des contextes différents ; l’apprentissage des Client Hints ou un intermédiaire peut aussi expliquer certains écarts.

Champ absent, masqué ou non exposé

L’absence peut venir du navigateur, du contexte ou du serveur. Une valeur masquée est volontairement cachée, sans signifier qu’elle n’a pas été transmise.

Comparer avant et après

1. Relevez les deux captures depuis le même appareil, profil, page et séquence de chargement, avec les mêmes réglages.
2. Modifiez une seule extension ou préférence pertinente, puis recommencez avec la même navigation et le même nombre de rechargements.
3. Comparez les mêmes types de requête. Gardez les informations TLS reçues par notre serveur séparées du segment navigateur lorsqu’un frontal intervient.

Ce que le test ne permet pas de conclure

• Une marque Via ou Forwarded est un indice de chemin HTTP, sans preuve d’anonymisation ; son absence ne démontre pas une connexion directe.
• Le masquage générique ne peut pas reconnaître tout secret placé dans un champ au nom anodin. Relisez un export avant de le partager.

Que faire selon le résultat ?

Une langue déclarée ne correspond pas à votre préférence.

Vérifiez les langues du profil navigateur et l’ordre choisi, puis comparez de nouveau les mêmes requêtes.

Une information TLS manque côté serveur.

Regardez la portée de la mesure et la présence d’un frontal. L’absence d’une information côté serveur ne justifie pas de conclure à une navigation non chiffrée.

Questions fréquentes

Sources et références

• MDN · HTTP headers
• MDN · Client hints