Que signifient les notes de sécurité de A à F
En bref : chaque site part de 100 points. Chaque problème trouvé retire des points selon sa gravité (critique 40, élevée 20, moyenne 8, faible 3), avec un plafond par catégorie. 90 et plus donne A, 75 et plus B, 60 et plus C, 40 et plus D, moins de 40 F. Tout problème à risque élevé limite la note à B, un problème critique la limite à D, et deux problèmes critiques ou plus donnent F.
Les paliers
| Note | Score | Ce que cela signifie en général |
|---|---|---|
| A | 90–100 | L’essentiel est en place. Il ne reste que des renforcements mineurs. |
| B | 75–89 | Solide, avec quelques protections manquantes, ou un problème à risque élevé à corriger. |
| C | 60–74 | Plusieurs failles que les attaquants recherchent souvent. |
| D | 40–59 | Des failles sérieuses, ou un problème critique comme un certificat invalide ou expiré. |
| F | 0–39 | À corriger tout de suite : plusieurs problèmes critiques ou de nombreux problèmes à risque élevé. |
Comment les points sont retirés
- Critique : 40 points. Exemple : un certificat expiré ou non reconnu.
- Élevée : 20 points. Exemples : une version de TLS obsolète (1.0/1.1), un certificat qui expire dans moins de 14 jours, une version de PHP qui ne reçoit plus de correctifs de sécurité.
- Moyenne : 8 points. Exemples : pas de HSTS, pas de Content-Security-Policy, pas de protection contre le clickjacking, pas d’enregistrement SPF ou DMARC.
- Faible : 3 points. Exemples : pas de Referrer-Policy, pas de Permissions-Policy, numéros de version du serveur ou de PHP visibles.
- Info : 0 point. Affiché pour le contexte uniquement.
Chaque catégorie (par exemple en-têtes, TLS, e-mail, WordPress) a une déduction maximale : de nombreux petits problèmes d’en-têtes ne peuvent donc pas faire chuter la note à eux seuls. La catégorie en-têtes est plafonnée à 24 points.
Les plafonds de sécurité
Les points seuls pourraient masquer un unique problème dangereux ; trois règles s’appliquent donc après le calcul du score :
- Tout problème élevé : la note est au mieux B.
- Un problème critique : la note est au mieux D.
- Deux problèmes critiques ou plus : la note est F.
Deux exemples
- CSP absente (8) + HSTS absent (8) + Referrer-Policy absente (3) = 19 points. 100 − 19 = 81, soit un B.
- Un certificat expiré (40) = 60 points, ce qui donnerait un C, mais le plafond critique le ramène à un D.
Comment améliorer votre note au plus vite
- Corrigez d’abord tout ce qui est critique (certificats, fichiers exposés).
- Réglez chaque problème élevé, car un seul vous bloque à B.
- Ajoutez les en-têtes manquants : des lignes à copier-coller pour votre serveur (en anglais).
- Ajoutez SPF et DMARC : les enregistrements pour Google Workspace et Microsoft 365 (en anglais).
- Relancez une analyse pour confirmer.
Note gratuite ou analyse approfondie
La note gratuite repose uniquement sur des contrôles passifs. Une analyse approfondie (pour les propriétaires vérifiés, avec leur accord) lance davantage de tests : elle peut donc trouver des problèmes que la note gratuite ne voit pas, et la note peut aussi bien baisser que monter.
Questions fréquentes
Une note A veut-elle dire que mon site est sécurisé ?
Non. Un A signifie que les problèmes visibles de l’extérieur sont maîtrisés. Il ne voit ni les fichiers de votre serveur, ni vos mots de passe, ni vos sauvegardes.
Pourquoi ma note est-elle plafonnée à B alors que mon score dépasse 90 ?
Parce qu’il y a au moins un problème à risque élevé. Corrigez-le et le plafond disparaît.
Pourquoi ma note a-t-elle changé alors que je n’ai rien modifié ?
Les certificats approchent de leur expiration, de nouvelles vulnérabilités sont publiées pour les logiciels que vous utilisez, et votre hébergeur ou votre CDN peut modifier les en-têtes.
Les autres outils de notation utilisent-ils la même échelle ?
Non. Chaque outil pondère les problèmes différemment : les notes de différents outils ne sont donc pas directement comparables. Cette page décrit uniquement l’échelle de HackGrade.