Essayez

Ce qui est vérifié

Lit les en-têtes que la page envoie vraiment, après les redirections.
Évalue HSTS, Content-Security-Policy, le cadrage, nosniff, Referrer-Policy et Permissions-Policy.
Écrit chaque en-tête manquant pour Next.js, Apache, Nginx, Netlify ou Vercel quand il peut le savoir.
Compte les témoins à la fois Secure et SameSite.