Pourquoi tester la sécurité de son site
Les sites de PME ne sont presque jamais visés personnellement. Ils sont trouvés par des robots qui balaient Internet en continu, à la recherche de configurations faibles : un panneau d'administration de base de données laissé en ligne, une sauvegarde oubliée à la racine, une extension connue pour être vulnérable. Dès qu'un point faible répond, l'attaque est automatique.
Un test de sécurité passif vous montre ce que ces robots voient. C'est le moyen le plus rapide de repérer les erreurs de configuration les plus exploitées, avant qu'elles ne le soient.
Ce que le test vérifie
L'analyse couvre près de trente contrôles, répartis en cinq familles.
Chiffrement HTTPS
Le trafic entre vos visiteurs et votre site est-il vraiment protégé ?
- Redirection HTTP vers HTTPS
- Validité et expiration du certificat
- Version du protocole TLS
En-têtes de sécurité
Les consignes que votre serveur donne au navigateur pour bloquer les attaques courantes.
- HSTS, CSP, X-Frame-Options
- X-Content-Type-Options, Referrer-Policy, Permissions-Policy
- Fuite de la version du serveur ou du CMS
Cookies et sessions
Une session volée, c'est un compte administrateur ouvert à un inconnu.
- Attribut Secure
- Attribut HttpOnly
- Attribut SameSite
Fichiers et accès exposés
Ce qui ne devrait jamais être accessible depuis Internet.
- Fichiers .env et dépôt .git
- phpMyAdmin, Adminer, phpinfo(), server-status
- Sauvegardes de base de données et de wp-config
- Listage de répertoires
- Contact sécurité publié (security.txt)
Authentification e-mail
Quelqu'un peut-il envoyer des e-mails en se faisant passer pour vous ?
- Enregistrement SPF
- Politique DMARC
Comment lire le score
Chaque contrôle est classé Conforme, Info, À surveiller ou Critique. Le score part de 100 et retranche une pénalité par point faible : un point critique, comme une sauvegarde de base de données téléchargeable, pèse autant que deux ou trois points à surveiller.
- 90 et plus : bon niveau, rien d'urgent.
- 70 à 89 : correct, quelques renforcements utiles.
- 45 à 69 : niveau moyen, des faiblesses exploitables sont probables.
- Moins de 45 : faible, à traiter rapidement.
Pour chaque faille relevée, le rapport explique en clair ce qu'un pirate peut en faire. Il se télécharge en PDF, pour le transmettre à votre agence ou à votre prestataire.
Ce que le test ne remplace pas
Le bilan ne voit que la surface publique. Il ne connaît pas les versions de vos extensions, la solidité de vos mots de passe, ni le code de votre site. Un bon score est un bon signe, pas une garantie. Pour aller plus loin : un audit des extensions (inclus dans les packs WordPress et PrestaShop), ou un audit complet sur devis.
Et si votre site montre déjà des signes de piratage, un test ne suffit plus : lisez que faire quand son site est piraté.