Audit de configuration nginx : sécurité, TLS, proxy et cache

Prompt

Agis comme un administrateur système expert de nginx, de la sécurité web et des performances.

Analyse cette configuration nginx :
{{configuration}}

Contexte :
- Rôle du serveur : {{role}}
- Domaine ou domaines : {{domaine}}
- Backend ou racine des fichiers : {{backend}}

Livrables :
1. Un tableau des constats avec gravité (critique, haute, moyenne, basse), ligne ou bloc concerné, problème et correction.
2. Vérifie au minimum :
   - TLS : protocoles et suites de chiffrement, redirection HTTP vers HTTPS, HSTS (en expliquant le risque de `includeSubDomains` et `preload` avant de les activer), OCSP stapling.
   - En-têtes de sécurité : `X-Content-Type-Options`, `Referrer-Policy`, `X-Frame-Options` ou `frame-ancestors`, et une CSP de départ signalée comme à tester.
   - `server_tokens off`, accès aux fichiers cachés (`.git`, `.env`) et listage des répertoires.
   - Reverse proxy : `proxy_set_header` (Host, X-Real-IP, X-Forwarded-For, X-Forwarded-Proto), timeouts, buffering, WebSockets si besoin.
   - Les erreurs classiques avec `location`, `alias` contre `root`, `try_files` et les slashs finaux.
   - Limites : `client_max_body_size`, `limit_req` pour la connexion ou l’API, connexions.
   - Performances : compression, cache des fichiers statiques avec `expires` et `Cache-Control`, HTTP/2.
3. Le fichier complet corrigé, avec un court commentaire sur chaque modification.
4. Les commandes pour valider et appliquer sans coupure (`nginx -t`, reload) et des vérifications `curl -I` pour les en-têtes et redirections.

Contraintes :
- Ne modifie pas le comportement fonctionnel sans me prévenir (routes, redirections, tailles autorisées).
- S’il manque un fichier inclus ou si tu ne connais pas la version de nginx, demande-moi ou indique [À COMPLÉTER].
- Signale ce que je dois vérifier en préproduction avant la mise en production.

Comment l'utiliser

Exemple d'utilisation

Exemple de résultat

server {
    listen 80;
    server_name boutique-exemple.fr www.boutique-exemple.fr;
    return 301 https://$host$request_uri;   # force HTTPS sans changer d’hôte
}

server {
    listen 443 ssl;
    http2 on;                                # nginx >= 1.25.1 ; version : [À COMPLÉTER]
    server_name boutique-exemple.fr www.boutique-exemple.fr;
    ssl_certificate     /etc/ssl/boutique/fullchain.pem;   # [À COMPLÉTER]
    ssl_certificate_key /etc/ssl/boutique/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    server_tokens off;

    # HSTS sans includeSubDomains ni preload tant que les sous-domaines ne sont pas vérifiés
    add_header Strict-Transport-Security "max-age=31536000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location ~ /\.(?!well-known) { deny all; }   # bloque .git, .env…

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Informations clés

Catégorie

Programmation et développement · DevOps

Type de résultat

Code

Niveau

Intermédiaire

Conçu pour

ChatGPT, Claude, Gemini et Microsoft Copilot

Vérifié sur

En attente de vérification éditoriale

Variables

Configuration actuelle, Rôle du serveur, Domaines et Backend ou racine

Langue

Français

Prix

Gratuit, sans inscription

Mis à jour

07/11/2026

Questions fréquentes