Comment auditer un site web : la démarche

L'ordre de travail, et pourquoi cet ordre

Chaque étape s'appuie sur la précédente. Changer l'ordre, c'est juger avant d'avoir mesuré, ou mesurer des pages choisies au hasard.

1. Le périmètre. L'inventaire des pages est établi avant toute mesure, parce qu'une page absente de l'inventaire ne sera jamais examinée.
2. Deux lectures de chaque page. La réponse brute du serveur, puis la page affichée par le navigateur. L'écart entre les deux est déjà un résultat.
3. Les mesures, pilier par pilier. Ce qui peut se mesurer ou s'observer est relevé, avec la page concernée et la valeur observée.
4. Le jugement, sur ces mesures. La clarté d'un texte ou l'usage d'un parcours se jugent, mais à partir de faits relevés, jamais d'une impression.
5. La note, en dernier. Elle résume les constats selon un barème connu d'avance. Elle ne précède pas les faits et ne les remplace pas.

Tout se fait de l'extérieur, comme le ferait un visiteur : sans accès à l'administration du site et sans rien y modifier. C'est aussi ce qui permet d'appliquer la même démarche au site d'un concurrent, dans les limites expliquées dans le guide sur l'audit du site d'un concurrent.

Les pages retenues : ce que la loi impose passe en premier

Un site compte souvent plus de pages qu'un audit n'en examine. L'ordre de sélection décide donc de ce qui sera vu. Le nôtre suit la structure réelle du site : le plan du site et les liens internes donnent l'inventaire, puis les pages sont classées par type (accueil, fiches produit, articles, pages de contact).

Viennent en premier les pages que la loi impose de vérifier : mentions légales, confidentialité, conditions de vente. Puis celles que la navigation met en avant, comme l'accueil et le parcours d'achat ou de contact. Puis les pages les plus liées depuis le reste du site. Sur une boutique, le parcours d'achat entre donc dans le périmètre, et le guide sur l'audit d'un site e-commerce dit ce qui y est regardé.

Le rapport énonce la liste exacte des pages analysées ; les pages non examinées restent distinctes du périmètre audité. Le nombre de pages est aussi ce qui fait varier le prix, comme l'explique le guide sur le prix d'un audit de site.

Ce que chaque pilier demande de regarder

Chacun des neuf piliers pose une question différente, et n'exige pas le même regard. Certains se lisent dans ce que le serveur répond, d'autres seulement dans un navigateur, d'autres enfin demandent une lecture humaine.

• Audit de sécurité d'un site web : le certificat, les versions de chiffrement acceptées, les en-têtes de sécurité, les protections des cookies, et ce que le site révèle de sa propre construction. L'essentiel se lit dans la réponse du serveur.
• Performance web et Core Web Vitals : le temps d'affichage du contenu principal, les décalages de mise en page, le poids réel et la part des services tiers. Rien de cela ne se mesure sans navigateur, et la mesure est faite deux fois, en conditions de téléphone et d'ordinateur.
• Audit SEO et référencement : titres, descriptions, adresses canoniques, données structurées, versions linguistiques, liens morts. La comparaison entre la réponse du serveur et la page affichée montre ce que les moteurs risquent de ne jamais voir. Un audit SEO s'arrête souvent là ; le guide audit SEO ou audit de site compare les deux.
• Audit d'accessibilité web : le contraste mesuré sur la page rendue, les alternatives des images, les intitulés des liens et des boutons, et l'usage au clavier, exercé par de vraies pressions de touches. L'ordre de lecture et l'expérience d'un utilisateur de lecteur d'écran restent à vérifier autrement.
• Conformité RGPD et vie privée : ce qui se dépose dans le navigateur avant tout clic, le bandeau de consentement tel qu'il fonctionne, les destinataires tiers, les mentions légales et la politique de confidentialité. Seul un navigateur montre ce qui part avant que le visiteur ait répondu.
• Nom de domaine, DNS et sécurité des emails : la date d'expiration du nom de domaine, les serveurs de noms, et les enregistrements qui empêchent un tiers d'envoyer des emails en votre nom. Tout se lit dans les registres publics et le DNS, hors des pages.
• Hébergement, dépendances et résilience : le fournisseur de chaque couche du site, le droit dont il relève, les couches qui reposent sur le même, et les données personnelles qui quittent l'Union pendant une visite. Le rapport constate l'exposition sans la qualifier juridiquement.
• Audit de contenu et de crédibilité : la clarté de l'offre, la fraîcheur, le texte jamais terminé, les faits qui se contredisent d'une page à l'autre. Une partie relève du jugement : chaque constat cite la page et l'extrait qui le fondent, pour qu'on puisse le contester.
• Bugs et fiabilité d'un site web : les erreurs pendant le chargement, les ressources qui ne répondent pas, la page d'erreur, l'affichage à trois largeurs et les contrôles réellement actionnés. Ce pilier n'a pas de norme dédiée : il repose sur des faits mesurés et sur une revue humaine.

Ce que seul un navigateur montre

Ces pourcentages portent sur une trentaine de sites audités entre le 14 août 2026 et le 24 septembre 2026. Chacun ne compte que les sites où le point a pu être vérifié. Beaucoup ont été audités parce qu'un défaut s'y voyait vite : ces chiffres décrivent nos audits, pas l'ensemble des sites.

Aucun de ces deux défauts ne se voit à l'écran. Le premier se relève en chargeant la page sans rien cliquer, puis en regardant ce qui s'est déjà déposé et ce qui est déjà parti vers des tiers. Le second se lit dans ce que la page exécute, pas dans ce qu'elle affiche. Le guide sur les erreurs JavaScript explique ce qu'elles peuvent casser.

Certains défauts n'existent qu'à une largeur d'écran : un bouton poussé hors de l'écran sans qu'aucun défilement ne le signale, un menu qui ne s'ouvre plus. C'est pourquoi l'affichage est vérifié sur téléphone, tablette et ordinateur.

Ce qui demande une personne

Une capture d'écran ne prouve pas qu'un bouton fonctionne. Un contrôle qui semble ne rien faire peut ouvrir un menu au survol, ou être vraiment en panne : il faut l'actionner et regarder ce qui se passe. Le rapport distingue ce qui a réellement été actionné de ce qui a seulement été observé.

La crédibilité d'un texte, la force d'une promesse ou la clarté d'un parcours ne se mesurent pas. Elles se jugent, en lisant les pages ensemble plutôt qu'une à une : c'est ainsi qu'un chiffre qui change d'une page à l'autre apparaît. Une lecture assistée par intelligence artificielle aide à croiser les observations, mais elle n'invente aucune mesure et ne fixe aucune note.

Lire le résultat sans le surestimer

La note est un outil de synthèse, pas une mesure universelle de la qualité d'un site. Les 9 piliers ne pèsent pas le même poids selon ce que le site sert à faire : une note globale se lit toujours avec la grille qui l'a produite.

Un défaut ne se juge pas seul, mais à son échelle. Une erreur sur une page n'a pas le poids d'une barrière présente sur presque toutes : c'est pourquoi les pages sont notées une à une avant d'être agrégées.

Chaque limite de l'examen est indiquée dans le rapport. Un point non vérifiable n'est jamais présenté comme conforme. Un résultat sans défaut sur un point qui n'a pas pu être vérifié ne dit rien de ce point.

Un score d'outil et un rapport relu ne répondent pas à la même question ; le guide outil ou audit explique quand l'un suffit, et celui sur les analyses de site gratuites ce qu'elles voient bien. Pour juger sur pièce, un rapport réel de boutique en ligne est publié en entier.

Ce que cette vérification ne dit pas

Par Quentin Mathis, Z29K · mis à jour le 28 septembre 2026