La sécurité web, étape par étape.
Des guides courts et concrets, avec des lignes à coller dans nginx, Apache ou WordPress. Chaque guide cite ses sources. Le code et la configuration restent en anglais.
Guides en français
En-têtes de sécurité
En-têtes de sécurité HTTP à copier-coller pour nginx, Apache (.htaccess), Cloudflare et WordPress : HSTS, X-Content-Type-Options, protection contre l’encadrement, Referrer-Policy et Permissions-Policy.
GuideContent-Security-Policy
Déployez une Content-Security-Policy sans casser votre site : commencez en mode rapport seul, construisez une liste d’autorisations, puis appliquez-la. Exemples pour nginx, Apache et WordPress.
GuideHSTS
Ce que fait HSTS, pourquoi commencer par un max-age court, quand utiliser includeSubDomains et preload, avec des lignes à copier-coller pour nginx, Apache et Cloudflare.
GuideWordPress piraté ?
Les signes d’un site WordPress piraté, comment le confirmer avec les sommes de contrôle de WP-CLI, et une liste de nettoyage : utilisateurs, fichiers, clés, mises à jour et réexamen par Google.
GuideRenforcement de WordPress
Une liste pratique pour renforcer WordPress, avec des extraits à copier-coller : bloquer XML-RPC, masquer les noms d’utilisateur, désactiver l’éditeur de fichiers, protéger wp-config.php et empêcher le PHP dans uploads.
GuideHTTPS et contenu mixte
Forcez HTTPS avec une seule redirection 301, corrigez les avertissements de contenu mixte, évitez les boucles de redirection Cloudflare et mettez à jour les anciens liens http:// dans WordPress avec WP-CLI.
GuideSkimmers de paiement
Comment les skimmers de cartes entrent dans les boutiques en ligne, et comment les arrêter : inventaire des scripts, CSP au paiement, SRI, champs de paiement hébergés et détection des modifications (PCI DSS 4.0 6.4.3 et 11.6.1).
Guide.git, .env et sauvegardes exposés
Des fichiers .env, des dossiers .git et des sauvegardes de base de données exposés livrent vos mots de passe aux attaquants. Vérifiez si les vôtres sont publics, bloquez-les sur nginx ou Apache et changez les secrets.
GuideSPF, DKIM et DMARC
Empêchez les escrocs d’envoyer des e-mails au nom de votre domaine. Enregistrements SPF et DMARC à copier-coller pour Google Workspace et Microsoft 365, et un chemin sûr de p=none à p=reject.
GuideVérifier la sécurité de votre site
Une méthode gratuite et sans risque pour vérifier la sécurité de votre site : HTTPS, en-têtes de sécurité, enregistrements e-mail, mises à jour WordPress et fichiers exposés, avec les commandes exactes et le résultat attendu.
GuideLes notes de sécurité A–F
Comment est calculée la note de sécurité A–F de HackGrade : des points selon la gravité de chaque problème, un plafond par catégorie, et les règles qui limitent la note en cas de problème critique ou à risque élevé.
GuideVérifier votre certificat SSL
Vérifiez votre configuration SSL/TLS en six étapes : chaîne de confiance, noms correspondants, expiration et renouvellement automatique, TLS 1.2/1.3 uniquement, redirection HTTP vers HTTPS et HSTS. Commandes et configuration pour nginx et Apache.
GuideExtensions WordPress obsolètes
Trouvez les extensions et thèmes WordPress obsolètes et vulnérables : l’écran des mises à jour, les commandes WP-CLI, les bases publiques de vulnérabilités, les extensions fermées et des mises à jour automatiques sans risque.
GuideCheck-list sécurité pour petites entreprises
Une check-list pratique de sécurité web pour les petites entreprises : HTTPS, mises à jour, sauvegardes, connexion en deux étapes, en-têtes de sécurité, enregistrements e-mail, protection du domaine et surveillance, avec des liens vers des correctifs pas à pas.
GuideAttributs de sécurité des cookies
À quoi servent les attributs de cookie Secure, HttpOnly et SameSite, et comment les définir dans PHP, WordPress, nginx et Apache sans casser les cookies dont vos scripts ont besoin.
GuideMasquer les versions du serveur et de PHP
Arrêtez d’afficher les versions de vos logiciels : server_tokens dans nginx, ServerTokens dans Apache, expose_php dans PHP et la balise generator de WordPress, et pourquoi mettre à jour compte plus que masquer.
GuideAjouter un fichier security.txt
Publiez un fichier security.txt pour que les chercheurs puissent vous signaler des problèmes : champs obligatoires, exemple, où le placer avec nginx, Apache et WordPress, et comment le garder valide.
GuideScanner, test d’intrusion ou vérificateur d’en-têtes
Une comparaison honnête entre les vérificateurs gratuits d’en-têtes de sécurité, les scanners automatisés de sécurité web comme HackGrade et les tests d’intrusion manuels : ce que chacun trouve, ce qu’il manque et quand choisir lequel.
Tests gratuits
Découvrez votre note avant quelqu’un d’autre.
Gratuit pour commencer. Offres payantes dès 12 $ par mois, ou un rapport unique à 29 $. Voir les tarifs