Comment vérifier la sécurité de votre site web gratuitement
En bref : lancez une analyse passive gratuite (comme la note A–F de HackGrade), puis vérifiez vous-même l’essentiel : HTTPS avec un certificat valide, les principaux en-têtes de sécurité, des enregistrements SPF et DMARC pour votre domaine de messagerie, des logiciels à jour, et aucun fichier de sauvegarde ou de configuration public. Tout cela se vérifie de l’extérieur, sans risque, en une dizaine de minutes.
Étapes rapides
- Lancez une analyse passive. Obtenez une note globale et une liste de problèmes classés par priorité, sans rien attaquer.
- Vérifiez HTTPS et le certificat. Assurez-vous que http:// redirige vers https:// et que le certificat est valide et pas près d’expirer.
- Vérifiez les en-têtes de sécurité. Cherchez Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options et Referrer-Policy.
- Vérifiez les enregistrements e-mail. Consultez l’enregistrement TXT SPF de votre domaine et l’enregistrement TXT DMARC sur _dmarc.votredomaine.
- Vérifiez les mises à jour. Mettez à jour votre CMS, vos extensions et vos thèmes, et supprimez ceux que vous n’utilisez pas.
- Cherchez les fichiers exposés. Assurez-vous que des fichiers comme .env, .git et les sauvegardes ne sont pas téléchargeables sur votre propre site.
Le code et la configuration restent en anglais.
1. Lancez une analyse passive
Une analyse passive lit uniquement ce que le navigateur de n’importe quel visiteur voit déjà : vos pages, les en-têtes de réponse, le certificat et le DNS public. Elle ne se connecte pas, n’envoie pas de formulaires et ne tente aucune attaque : on peut donc la lancer sans risque sur un site en production. L’analyse gratuite de HackGrade fait exactement cela et transforme les résultats en une note de A à F, avec les trois premiers correctifs expliqués. Comment fonctionne la note A–F.
2. Vérifiez HTTPS et le certificat
Votre adresse en HTTP simple doit répondre par une redirection permanente (301 ou 308) vers HTTPS :
curl -sI http://yourdomain.com | head -n 3Lisez ensuite les dates et l’émetteur du certificat :
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -datesPlus de détails dans Mon certificat SSL est-il bien configuré ?
3. Vérifiez les en-têtes de sécurité
curl -sI https://yourdomain.com | grep -iE 'strict-transport|content-security|x-frame|x-content-type|referrer-policy|permissions-policy'Une ligne absente signifie un en-tête absent. Le guide des en-têtes de sécurité propose des correctifs à copier-coller pour nginx, Apache, Cloudflare et WordPress.
4. Vérifiez les enregistrements e-mail (SPF et DMARC)
dig +short TXT yourdomain.com | grep -i spf
dig +short TXT _dmarc.yourdomain.comSans enregistrement SPF ni DMARC, n’importe qui peut envoyer des e-mails qui prétendent venir de votre domaine. Voir SPF, DKIM et DMARC expliqués simplement.
5. Vérifiez les mises à jour
Dans WordPress, ouvrez Tableau de bord → Mises à jour. Les extensions obsolètes sont la cause la plus fréquente de piratage des petits sites. Voir comment trouver les extensions obsolètes présentant des vulnérabilités connues.
6. Cherchez les fichiers exposés (sur votre propre site uniquement)
Chacun de ces chemins doit renvoyer 403 ou 404, jamais 200 :
for p in .env .git/HEAD wp-config.php.bak backup.zip; do
printf '%s ' "$p"; curl -s -o /dev/null -w '%{http_code}\n' "https://yourdomain.com/$p"
doneSi l’un d’eux renvoie 200, suivez Bloquer les fichiers .git, .env et de sauvegarde exposés et changez tous les mots de passe ou clés que le fichier contenait.
Ce qu’une vérification gratuite ne voit pas
Une vérification à distance voit ce qu’Internet voit. Elle ne peut pas lire les fichiers de votre serveur, votre base de données ni votre panneau d’hébergement : une bonne note est donc un signal fort, pas une garantie. Les tests plus poussés (fichiers exposés, tests d’injection, logique de paiement) ne doivent être lancés que sur un site qui vous appartient, avec autorisation. HackGrade ne les lance qu’après que vous avez vérifié le domaine et accepté l’accord d’autorisation d’analyse.
Questions fréquentes
Ai-je le droit d’analyser mon propre site ?
Oui, vérifier votre propre site ne pose pas de problème. Une analyse passive ne lit que des informations publiques, comme un navigateur. Les tests actifs ne doivent être lancés que sur des sites qui vous appartiennent ou que vous êtes autorisé à tester.
Une analyse de sécurité va-t-elle ralentir ou casser mon site ?
Une analyse passive envoie un petit nombre de requêtes ordinaires, comparable à un visiteur, elle n’affecte donc pas un site normal.
À quelle fréquence faut-il vérifier la sécurité de son site ?
Après chaque changement important (nouvelle extension, thème, hébergeur ou modification DNS) et au moins une fois par mois. Les certificats expirent et de nouvelles vulnérabilités d’extensions sont publiées chaque semaine.
Une bonne note signifie-t-elle que mon site ne peut pas être piraté ?
Non. Elle signifie que les problèmes visibles de l’extérieur sont maîtrisés. Gardez vos logiciels à jour, utilisez des mots de passe solides et uniques avec la connexion en deux étapes, et conservez des sauvegardes testées.