X-Content-Type-Options: nosniff expliqué simplement

Le risque du MIME sniffing, concrètement

Prenons un site qui autorise les visiteurs à téléverser une photo de profil. Un attaquant téléverse un fichier nommé avatar.png qui ressemble à une image mais contient en réalité du code HTML et du JavaScript. Votre serveur le stocke et le ressert plus tard avec le type image/png. Sans nosniff, le navigateur d'une victime peut « renifler » le contenu, conclure que c'est du HTML, et exécuter le script qu'il contient dans le contexte de votre domaine : c'est une attaque XSS stockée.

Autre scénario classique : un fichier .css ou .js servi avec un mauvais type MIME mais réinterprété comme du HTML exécutable. Dans tous les cas, nosniff coupe court : le navigateur traite le fichier exactement comme annoncé, sans l'exécuter s'il n'est pas censé l'être.

Pourquoi c’est une protection sans contrepartie

Contrairement à la CSP, qui demande du réglage, ou à HSTS, qui engage votre domaine sur le long terme, nosniff n'a quasiment aucun effet de bord. La seule condition pour qu'il ne casse rien est que votre serveur renvoie déjà les bons types MIME pour vos fichiers — ce qui est le comportement par défaut de tous les serveurs et CMS modernes.

C'est pourquoi cet en-tête fait partie du socle minimal recommandé pour tout site, au même titre que la redirection HTTPS. Il se déploie une fois et se fait oublier.

Activer nosniff

L'activation tient en une ligne. Voici la configuration pour les environnements les plus courants.

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
</IfModule>

add_header X-Content-Type-Options "nosniff" always;

add_action('send_headers', function () {
    header('X-Content-Type-Options: nosniff');
});

Vérifier et éviter les pièges

Pour vérifier, relancez un audit CheckCyber ou ouvrez les outils de développement du navigateur (onglet Réseau → en-têtes de réponse) : la ligne X-Content-Type-Options: nosniff doit apparaître sur toutes vos pages et vos ressources.

Le seul piège réel : si votre site sert des fichiers avec un type MIME erroné (par exemple une feuille de style envoyée en text/plain), nosniff empêchera le navigateur de la « rattraper » et la ressource sera ignorée. Ce n'est pas un défaut de nosniff mais un signal qu'une configuration MIME de votre serveur doit être corrigée à la source.

N'oubliez pas le mot-clé always sous Apache/nginx, afin que l'en-tête soit aussi présent sur les réponses d'erreur, et déclarez-le à un seul endroit pour éviter les doublons contradictoires.