Aller au contenu principal
W ScanClear
← Tous les guides

Sécurité d'un site web : ce qu'un audit vérifie vraiment

La sécurité d'un site vitrine ne se joue pas sur un pare-feu, mais sur une poignée d'en-têtes HTTP, un certificat à jour et l'absence de secrets laissés dans le code livré au navigateur.

Poids dans le score
18/100
contrôles dans cette catégorie
37

Pourquoi cela compte

C'est la catégorie la plus lourdement pondérée du score, à égalité avec la performance. Un en-tête manquant ne casse rien de visible : il ouvre simplement une porte que rien ne referme. Un site sans Content-Security-Policy laisse un script injecté s'exécuter ; sans HSTS, un visiteur peut être ramené en HTTP par un attaquant sur le réseau ; sans X-Frame-Options, la page peut être encadrée pour du clickjacking. Ces contrôles se corrigent presque tous côté serveur, en quelques lignes de configuration.

Les contrôles exécutés

La liste ci-dessous est celle de l'audit, générée depuis son catalogue — elle suit le produit, elle ne le décrit pas de mémoire.

  • Aucun contenu mixte (HTTP+HTTPS)
  • Aucun cookie tiers détecté (mesure navigateur réelle)
  • Aucun formulaire suspect vers un domaine externe
  • Aucun pattern d'injection SQL détecté côté client
  • Aucun pattern JavaScript dangereux détecté (eval, innerHTML non contrôlé)
  • Aucun plugin obsolète (Flash, Java, ActiveX) détecté
  • Aucun problème dans le panneau Issues de Chrome DevTools
  • Aucun script détecté dans un SVG
  • Aucun secret potentiel exposé dans le code
  • Aucune authentification HTTP Basic détectée
  • Aucune librairie JS avec vulnérabilité connue (base retire.js)
  • Aucune ressource active (script/iframe) chargée en HTTP non chiffré
  • Certificat SSL valide et à jour
  • Cookies avec attribut HttpOnly
  • Cookies avec attribut SameSite
  • Cookies sécurisés (Secure, HttpOnly, SameSite)
  • CSP avec directive frame-ancestors
  • CSP sans unsafe-eval
  • CSP sans unsafe-inline
  • En-tête HSTS (Strict-Transport-Security) présent
  • Feuilles de style CDN protégées par Subresource Integrity
  • Fichier security.txt présent (RFC 9116)
  • Formulaires soumis en HTTPS uniquement
  • Header Cross-Origin-Opener-Policy présent
  • Header Cross-Origin-Resource-Policy présent
  • Header Permissions-Policy présent
  • Iframes protégées par l'attribut sandbox
  • Le site utilise HTTPS
  • Liens target="_blank" protégés par rel="noopener"
  • Politique de sécurité du contenu (CSP) définie
  • Politique Referrer-Policy définie
  • Protection contre le clickjacking (X-Frame-Options) active
  • Protection contre le MIME-sniffing (X-Content-Type-Options) active
  • Referrer-Policy suffisamment stricte
  • Scripts CDN protégés par Subresource Integrity
  • TLS 1.2+ utilisé
  • Version du serveur non divulguée dans les en-têtes

Vérifiez votre site sur ces contrôles

Un scan gratuit exécute ces contrôles et ceux des 10 autres catégories, et vous rend le détail de chaque échec avec sa solution.

Scanner mon site gratuitement

Les autres catégories