Audit de sécurité d'un site web

Ce que nous vérifions

• Le certificat : sa validité, sa date d'expiration, et s'il a bien été émis pour votre nom de domaine. Un certificat émis pour celui de votre hébergeur déclenche une alerte du navigateur à chaque visite.
• Les versions de TLS et les suites cryptographiques que votre serveur accepte encore, et la redirection de l'adresse non sécurisée vers l'adresse sécurisée : effective, et permanente.
• Les en-têtes de sécurité qui limitent l'intégration de vos pages par d'autres sites et encadrent certains comportements du navigateur, comme l'en-tête HSTS, qui l'oblige à rester en HTTPS.
• Les attributs de protection posés sur les cookies de session, et les ressources encore chargées en clair depuis une page pourtant sécurisée.
• Les bibliothèques et composants utilisés par vos pages lorsque leur version présente une vulnérabilité connue.
• Ce que votre site révèle de sa propre construction : versions affichées dans les en-têtes, fichiers de développement restés en ligne, pages d'erreur trop bavardes, et identifiants qui n'ont rien à faire dans du code public.
• Le fichier security.txt, qui indique publiquement à qui signaler un problème de sécurité découvert sur votre site.

Ce que nous relevons sur les sites audités

Sur une trentaine de sites audités entre le 14 août 2026 et le 24 septembre 2026 :

• 55 % n'envoient aucune politique de sécurité du contenu (CSP)
• 40 % posent des cookies sensibles sans les attributs Secure, HttpOnly ou SameSite
• 40 % n'obligent pas le navigateur à rester en HTTPS (pas d'en-tête HSTS)

Chaque pourcentage porte sur les sites où le point a pu être vérifié. Beaucoup ont été audités parce qu'un défaut s'y voyait vite : ces chiffres décrivent nos audits, pas l'ensemble des sites.

À lire aussi : nom de domaine, DNS et sécurité des emails ; un rapport réel de boutique en ligne.

Ce que ça change pour vous

Une alerte de sécurité affichée par le navigateur sur votre page d'accueil coûte plus cher qu'un défaut invisible : elle arrête le visiteur avant qu'il ait lu une ligne, et elle arrive sans prévenir, le jour où un certificat expire.

Le reste se joue plus discrètement. Ce qu'un site publie de sa propre construction (versions, fichiers de développement, pages d'erreur) en dit plus qu'il ne devrait. Rien de tout cela n'est visible à tous : ce sont des propriétés techniques de ce que votre serveur répond.

Le poids de ce pilier

Une note globale doit peser ce qui compte pour votre activité : les 9 piliers ne pèsent pas le même poids selon ce que votre site sert à faire. Voici ce que « sécurité et chiffrement » représente dans la note globale, selon la grille retenue. Le rapport indique toujours laquelle a produit votre note.

Ce pilier est examiné avec les huit autres dans chaque forfait, quel que soit le nombre de pages. Voir les tarifs →