Un audit réel de boutique en ligne
Audit du 18 septembre 2026. 120 pages analysées, note globale 52/100. Seuls les noms ont été remplacés.
Ces PDF sont des exemples du rapport d’audit, pas de l’ensemble de la livraison.
Une commande complète comprend trois PDF : le rapport d’audit, l’analyse détaillée des pages et la note de méthodologie.
Le verdict du rapport
La vitrine fonctionne sans défaut et se référence très bien, mais le site cumule des retards de conformité, d'accessibilité et de protection qui l'exposent davantage qu'un marchand de sa taille ne devrait l'être.
Ces passages sont copiés du rapport, mot pour mot.
Ce rapport est celui d’une boutique en ligne. Le guide de l’audit d’un site e-commerce détaille ce que l’audit regarde en plus sur un site qui vend.
Ce qui pèse le plus sur la note
- Traceurs avant consentement : Google Tag Manager se charge dès l'ouverture de la page, avant tout choix du visiteur. Le refus n'est pas proposé au premier niveau du bandeau : il faut ouvrir « Personnaliser » pour le trouver.
- Déclaration d'accessibilité absente : PRAVEL SAS compte de 10 à 19 salariés et vend en ligne à des consommateurs. L'obligation européenne d'accessibilité s'applique donc. Aucune déclaration n'est publiée, ni sur les 120 pages, ni dans les conditions générales.
- Bibliothèque vulnérable : le script principal embarque axios 1.7.7, qui compte 30 vulnérabilités connues, dont 15 de gravité haute ou critique.
- Données hors Union européenne et dépendance : Google Tag Manager reçoit l'adresse du visiteur avant tout consentement. Le site est hébergé par Amazon Web Services, société de droit américain, qui gère aussi le nom de domaine et les serveurs DNS.
- Versions linguistiques non traduites : 51 des 57 pages des versions anglaise, espagnole et italienne analysées servent le texte français.
Ce qu'il faut corriger
- Conformité à 15/100 : refus des cookies en deux clics, mentions légales incomplètes (3 champs manquants), médiateur absent, déclaration d'accessibilité absente, avis clients publiés sans information sur leur vérification.
- Accessibilité à 28/100 : zoom bloqué sur les 120 pages, boutons et liens sans nom sur plus de 100 pages, recherche et menus non opérables au clavier.
- Sécurité à 45/100 : aucun en-tête de protection du navigateur, TLS 1.0 accepté, une bibliothèque JavaScript (axios 1.7.7) avec 15 vulnérabilités hautes ou critiques connues.
- Versions anglaise, espagnole et italienne servies en français sous une étiquette de langue étrangère.
- Vitesse sur mobile en réseau contraint : de 25 à 62 secondes pour afficher le contenu principal des listes et de la plupart des fiches produit.
Ce qui fonctionne déjà
- Aucun défaut de fonctionnement sur les 120 pages : zéro erreur d'exécution, zéro ressource manquante, zéro lien interne cassé sur 22 919 liens parcourus.
- Référencement à 98/100 : balises en place sur les 120 pages, plan du site déclaré, aucune chaîne de redirection, contenu servi par le serveur.
- Expérience utilisateur à 97/100 : première vue claire, engagements visibles, page d'erreur 404 correcte, aucun débordement horizontal aux largeurs mesurées.
- Expérience réelle des visiteurs sur mobile dans le vert : contenu principal affiché en 1,6 s au 75ᵉ centile, réactivité de 144 ms.
La note de chaque pilier
| Pilier | Note | Poids dans la note globale |
|---|---|---|
| Sécurité et chiffrement | 45/100 | 18 % |
| Performance | 39/100 | 12 % |
| Référencement | 98/100 | 10 % |
| Accessibilité | 28/100 | 13 % |
| Conformité et vie privée | 15/100 | 16 % |
| Domaine et réseau | 64/100 | 6 % |
| Indépendance et résilience | 47/100 | 8 % |
| Contenu et confiance | 77/100 | 5 % |
| Expérience et fiabilité | 97/100 | 12 % |
Pilier par pilier
Chaque pilier du rapport commence par un résumé écrit pour un lecteur non technicien. Le voici pour les neuf, copié du rapport, avec les guides qui expliquent les constats relevés.
Sécurité et chiffrement : 45/100
En bref : le chiffrement fonctionne et aucune faille de configuration grave n'a été relevée, mais le site n'est pas durci. Aucun des en-têtes qui protègent le navigateur n'est envoyé, le serveur accepte encore TLS 1.0, et le script principal embarque une bibliothèque qui compte 15 vulnérabilités hautes ou critiques connues. Ce sont des réglages et une mise à jour de dépendance : quelques jours de travail, à planifier sans attendre.
Les guides qui expliquent ces constats :
Performance : 39/100
En bref : les visiteurs réels ne perçoivent pas de lenteur : sur leur téléphone, le contenu principal s'affiche en 1,6 seconde. Mais sur un téléphone en réseau contraint, le site devient très lent : plus de 26 secondes sur l'accueil, jusqu'à 62 secondes sur certaines fiches produit. La cause principale est le poids des images : l'accueil transfère 21,6 Mo, dont quatre images de carrousel de 2,1 à 3,7 Mo chacune. L'effort porte sur la livraison des images, pas sur une refonte.
Référencement : 98/100
En bref : c'est le point fort du site. Le contenu est servi directement par le serveur, chaque page porte un titre, une description et une adresse canonique, et aucun des 22 919 liens internes parcourus n'est cassé. Trois réserves : un quart des descriptions dépasse la longueur affichée par Google, la note du site est déclarée comme note de produit sur 47 pages de liste, et les versions linguistiques sont déclarées de façon contradictoire.
Accessibilité : 28/100
En bref : c'est l'un des deux piliers les plus bas. Le défaut le plus lourd est simple à corriger : le zoom est bloqué sur toutes les pages, ce qui empêche une personne malvoyante d'agrandir le texte sur son téléphone. S'y ajoutent des boutons et des liens sans nom lisible par un lecteur d'écran, un moteur de recherche qui ne s'ouvre pas au clavier, et l'absence de lien d'évitement. Presque tous ces défauts viennent de l'en-tête commun : une dizaine de corrections dans le gabarit en règlent l'essentiel.
Les guides qui expliquent ces constats :
Conformité et vie privée : 15/100
En bref : c'est le pilier le plus bas du rapport, et le plus urgent. Le bandeau de cookies cache le refus au second niveau, les mentions légales se résument à des conditions générales incomplètes, aucun médiateur de la consommation n'est nommé et aucune déclaration d'accessibilité n'est publiée. Le socle est pourtant sain : après un refus, aucun traceur publicitaire ne se charge, et les conditions générales couvrent la rétractation et la garantie légale. Les corrections sont documentaires et rapides.
Les guides qui expliquent ces constats :
Domaine et réseau : 64/100
En bref : les fondations tiennent. Le domaine court jusqu'en août 2027, il est verrouillé contre le transfert, et les emails sont authentifiés. Trois réglages manquent : la signature des réponses DNS, la liste des autorités autorisées à émettre un certificat, et IPv6. La politique anti-usurpation des emails est en quarantaine, pas en rejet.
Les guides qui expliquent ces constats :
Indépendance et résilience : 47/100
En bref : le site repose sur un seul fournisseur pour ses trois couches vitales. Amazon héberge le site, enregistre le nom de domaine et répond aux requêtes DNS : si Amazon s'arrête ou suspend le compte, le site devient injoignable, sans solution de repli. Les serveurs sont en Irlande, mais Amazon est une société de droit américain. Avant tout consentement, Google reçoit l'adresse du visiteur par le gestionnaire de balises. C'est un arbitrage d'entreprise plus qu'un défaut technique.
Les guides qui expliquent ces constats :
Contenu et confiance : 77/100
En bref : le contenu est riche et précis là où il compte : fiches produit détaillées, pages de marque qui nomment les modèles et leurs caractéristiques, guides d'achat du blog. Trois réserves : les introductions des grandes catégories alignent des formules génériques, les descriptions affichées dans Google promettent un « retour gratuit » que les conditions générales ne garantissent pas, et les versions anglaise, espagnole et italienne ne sont pas traduites.
Les guides qui expliquent ces constats :
Expérience et fiabilité : 97/100
En bref : c'est, avec le référencement, le point fort du site. Aucune erreur d'exécution, aucune ressource manquante, aucun lien interne cassé, une vraie page 404, et une première vue qui dit clairement ce qui est vendu et à quelles conditions. Les réserves sont mineures : le sélecteur de langue mène à des pages restées en français, et une ressource de pré-production d'un partenaire de paiement est chargée en production.
Lire le rapport (s’ouvre dans un nouvel onglet)