RFC 9111, publié en juin 2022, définit le cache HTTP. Ce point d’octobre explique un standard existant, pas une règle nouvellement annoncée. Pour choisir un fournisseur, retenez qu’un bouton no-cache ne promet pas nécessairement que les réponses ne seront jamais stockées.

La directive de réponse no-cache sans paramètre impose une validation réussie avant de réutiliser une réponse stockée. À l’inverse, no-store demande aux caches de ne conserver ni requête ni réponse. MDN expose la même distinction. Séparez les exigences de fraîcheur et de stockage pour un compte ou un espace client.

La directive de réponse private sans paramètre exclut les caches partagés, mais permet un cache privé selon les règles applicables. Ce n’est ni du chiffrement ni un contrôle d’accès. Demandez comment diffèrent les politiques du navigateur et du CDN, quelles routes sont personnalisées et comment les changements sont vérifiés.

Exigez une démonstration avec des pages publiques et authentifiées plutôt qu’une seule case à cocher. RFC 9111 avertit que no-store seul ne suffit pas à garantir la confidentialité. Cet article n’est ni un audit ni une prescription universelle d’en-têtes : évaluez séparément authentification, transport et comportement applicatif.