Votre site est-il bien protégé ?
Avant de lancer une vraie attaque, les hackers lisent les signaux techniques que votre site renvoie. On teste les 12 protections les plus regardées — et on vous dit lesquelles manquent.
Les signaux sécurité scannés en premier par un attaquant.
Ces signaux sont invisibles pour vous, mais ils parlent directement à tout scanner automatisé. Chaque point manquant vaut une ligne bonus dans le rapport d'un pentester.
Est-ce que votre site force le HTTPS correctement ? Sans ça, un intermédiaire malveillant peut lire le trafic.
Les failles qui permettent d'injecter du code dans votre site. On vérifie si vous avez les protections modernes.
Empêche qu'un site pirate affiche le vôtre dans une iframe invisible pour voler les clics de vos visiteurs.
Les cookies de session doivent avoir les bons verrous. Sinon ils peuvent être détournés depuis un café Wi-Fi public.
Contrôle de ce que votre site envoie comme infos à d'autres sites quand l'utilisateur clique sur un lien externe.
Caméra, micro, géolocalisation — votre site demande-t-il uniquement ce dont il a besoin ?
Protection contre les attaques modernes type Spectre qui peuvent lire la mémoire d'autres onglets.
Votre serveur annonce-t-il sa version exacte ? Ça donne des pistes gratuites aux attaquants.
Directive qui force les navigateurs à ne plus jamais accepter une connexion non-sécurisée sur votre domaine.
Comment interpréter vos résultats.
Un en-tête manquant n'est pas une faille — c'est une ceinture de sécurité absente. Ces en-têtes ne corrigent aucune vulnérabilité : ils réduisent ce qu'un attaquant peut faire d'une vulnérabilité existante. Une politique de sécurité du contenu bien écrite empêche un script injecté de s'exécuter ; HSTS empêche un visiteur d'être rétrogradé en HTTP sur un réseau public. Un score bas ne veut donc pas dire que votre site est piraté : il veut dire que le jour où une faille apparaît — dans une dépendance, dans une extension — vous n'aurez aucun filet.
Corrigez dans l'ordre du gain, pas dans l'ordre du rapport. D'abord le chiffrement forcé (HTTPS et HSTS) : sans lui, tout le reste est théorique. Ensuite les protections à effet immédiat et sans risque de régression, qui se posent en deux lignes de configuration : type MIME strict, protection contre l'affichage en cadre, politique de référent. Puis, seulement, la politique de sécurité du contenu (CSP) — la plus puissante, mais la seule qui puisse casser votre site si elle est mal écrite. La règle absolue : la déployer d'abord en mode rapport, laisser tourner quelques semaines pour couvrir tous les parcours réels, ajuster, puis passer en mode blocage. Jamais l'inverse.
Ce que cet audit ne couvre pas. Il regarde ce qu'un attaquant voit en premier — les signaux exposés publiquement par votre serveur, qui lui disent en quelques secondes si la cible est soignée ou négligée. Il ne teste ni votre authentification, ni la gestion de vos droits d'accès, ni vos dépendances vulnérables, ni la configuration de votre infrastructure. Ces sujets relèvent d'un test d'intrusion, avec un rapport listant chaque vulnérabilité et sa criticité. Considérez ce score comme un indicateur de maturité : bas, il signale presque toujours que personne ne s'occupe de la sécurité du site — et c'est ça, le vrai risque.
Ce qu'on nous demande sur la sécurité.
Des en-têtes manquants signifient-ils que mon site est piratable ?
Non — et c'est important de ne pas confondre les deux. Les en-têtes de sécurité ne bouchent pas une faille : ils réduisent la surface d'exploitation d'une faille existante. Une politique de sécurité du contenu (CSP) bien configurée empêche un script injecté de s'exécuter ; HSTS empêche un visiteur d'être rétrogradé en HTTP sur un réseau hostile. Si votre application comporte une injection SQL ou une authentification cassée, aucun en-tête ne vous sauvera. À l'inverse, un site sans faille connue mais sans en-têtes reste bien plus exposé le jour où une faille apparaît — dans une dépendance, par exemple. Ce sont des ceintures de sécurité : elles ne rendent pas le trajet sûr, elles limitent les dégâts.
Par quel en-tête commencer ?
Dans cet ordre, du plus rentable au plus fin. (1) HTTPS et HSTS : sans chiffrement forcé, tout le reste est théorique. C'est aussi le plus simple à activer. (2) X-Content-Type-Options et X-Frame-Options (ou frame-ancestors) : deux lignes de configuration, aucun risque de régression, protection immédiate contre le détournement d'affichage et la confusion de type MIME. (3) Referrer-Policy et Permissions-Policy : elles limitent ce que votre site laisse fuir vers les tiers. (4) La politique de sécurité du contenu (CSP) : la plus puissante, mais aussi la seule qui peut casser votre site si elle est mal écrite — déployez-la d'abord en mode rapport, observez les violations pendant quelques semaines, puis passez en mode blocage.
Une CSP peut-elle casser mon site ?
Oui, si vous la déployez d'un coup en mode blocage — c'est la raison pour laquelle tant de sites n'en ont pas. Une politique trop stricte bloque vos propres scripts tiers (chat, mesure d'audience, tests A/B, polices externes) et vous vous en apercevez en production, ce qui est le pire moment. La méthode sûre : déployer d'abord la politique en mode rapport, qui n'empêche rien mais journalise tout ce qui serait bloqué ; laisser tourner quelques semaines pour couvrir tous les parcours réels ; ajuster ; puis seulement passer en mode blocage. C'est plus lent, et c'est la seule façon de le faire sans casse.
Mon hébergeur ne gère pas ça — puis-je corriger moi-même ?
Dans la plupart des cas, oui. Les en-têtes se posent au niveau du serveur web, du CDN ou du framework : selon votre pile, cela se règle dans la configuration du serveur, dans les réglages de votre CDN, dans un fichier de configuration de votre framework, ou via une extension sur un CMS. C'est typiquement une intervention courte pour un développeur — l'essentiel du temps passe dans la mise au point de la CSP, pas dans les autres en-têtes. Si personne, chez vous, ne peut y toucher, c'est le signal qu'il faut un contrat de suivi : un site sans personne pour appliquer un correctif de sécurité est le vrai risque, bien plus qu'un en-tête manquant.
Un bon score ici suffit-il à me protéger ?
Non. Cet audit regarde ce qu'un attaquant voit en premier — les signaux exposés publiquement par votre serveur, qui lui indiquent en quelques secondes si votre cible est soignée ou négligée. C'est un excellent indicateur de maturité, mais ce n'est qu'une couche. Une évaluation sérieuse couvre aussi l'authentification, la gestion des droits, les dépendances vulnérables, l'exposition des données et la configuration de l'infrastructure — c'est l'objet d'un test d'intrusion en bonne et due forme, avec un rapport détaillant chaque vulnérabilité et sa criticité. C'est ce que couvre notre service cybersécurité.
Besoin d'aller au-delà de l'outil ?
Cet audit vous donne un diagnostic. Pour passer à l'action, nos équipes et notre méthodologie détaillée prennent le relais.