Les en-têtes de sécurité HTTP demandent au navigateur d'appliquer des protections : Strict-Transport-Security impose HTTPS, X-Content-Type-Options: nosniff évite l'interprétation erronée du type, Content-Security-Policy limite les ressources, X-Frame-Options ou frame-ancestors contrôlent l'intégration en iframe.
Exemple
Strict-Transport-Security: max-age=31536000; includeSubDomains