Test de sécurité de site gratuit

Votre site est-il sécurisé ? Réponse en quelques secondes.

Collez votre adresse et obtenez une note de sécurité de A à F avec les problèmes les plus importants, classés selon le risque réel. Passif et en lecture seule : nous regardons ce que le navigateur de n’importe quel visiteur voit déjà.

Analyse passive. Rien n’est attaqué sans votre autorisation.

Ce que vérifie le test gratuit

  • HTTPS et certificats : redirection de HTTP vers HTTPS, validité et expiration du certificat, version de TLS, HSTS.
  • En-têtes de sécurité : Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
  • Cookies et logiciels : attributs Secure/HttpOnly/SameSite manquants, versions du serveur et de PHP visibles, bibliothèques JavaScript obsolètes, contenu mixte.
  • WordPress : version du cœur visible, vulnérabilités connues du cœur, des extensions et des thèmes, composants obsolètes, noms d’utilisateur exposés, XML-RPC.
  • Usurpation d’e-mail : enregistrements SPF et DMARC de votre domaine, ainsi qu’un fichier security.txt.

Ce que vous obtenez

  • Une note de A à F et un score de 0 à 100 à revérifier après chaque correctif.
  • Chaque problème expliqué en langage simple, classé de critique à informatif.
  • Des correctifs pas à pas pour vos 3 premiers problèmes, gratuitement. Des lignes à copier-coller pour nginx, Apache (.htaccess), Cloudflare et WordPress.
  • Une nouvelle vérification mensuelle d’un site lorsque vous créez un compte gratuit.

Des tests approfondis, uniquement avec votre autorisation

Une fois que vous avez vérifié que le domaine vous appartient (un enregistrement DNS, un fichier ou une balise meta) et donné votre consentement explicite, les offres payantes lancent des tests approfondis :

  • Fichiers exposés comme .env, .git, sauvegardes, dumps de base de données, phpinfo et journaux de débogage.
  • Protocoles et suites de chiffrement TLS, ports ouverts, listage de répertoires, interfaces d’administration.
  • Tests d’injection (SQLi, XSS, SSTI, redirection ouverte), problèmes CORS, CSRF et JWT.
  • Pour les boutiques : manipulation des prix dans le panier et au paiement, abus de codes promo, exposition aux tests de cartes et signaux de skimmers (scripts de paiement inconnus ou modifiés, faux formulaires de paiement, domaines sosies).
  • Code injecté, comme les pages de faux CAPTCHA / ClickFix et les scripts chargés depuis des blockchains.

Ce qu’aucun scanner à distance ne peut voir

Une analyse à distance voit ce que voit Internet : vos pages, en-têtes, certificats et DNS. Elle ne peut pas lire les fichiers de votre serveur, votre base de données ni votre panneau d’hébergement : une bonne note est donc un signal fort, pas une garantie. Nous indiquons précisément ce que nous avons vérifié et ce que nous n’avons pas vérifié, et les tests approfondis ne sont lancés qu’après que vous avez prouvé que le site vous appartient.

Questions fréquentes

Le test de sécurité gratuit est-il sans risque ?

Oui. Il envoie uniquement le même type de requêtes que le navigateur d’un visiteur ordinaire : pages, en-têtes, certificats et enregistrements DNS publics. Rien n’est attaqué et aucune charge n’est ajoutée.

Comment la note est-elle calculée ?

Chaque constat a une gravité. Les problèmes critiques et élevés, comme l’absence de HTTPS ou une extension présentant une vulnérabilité connue, font baisser le score bien plus que des en-têtes recommandés manquants. La lettre découle du score.

Dois-je installer quelque chose ?

Non. Le test gratuit ne demande ni extension ni code à ajouter. Vous n’ajoutez un enregistrement DNS, un fichier ou une balise meta que si vous voulez les tests approfondis, fondés sur votre consentement.

Fonctionne-t-il pour les sites qui ne sont pas sous WordPress ?

Oui. Tous les sites bénéficient des vérifications HTTPS, en-têtes, cookies, logiciels et e-mail. Les sites WordPress ont en plus les vérifications du cœur, des extensions, des thèmes et des utilisateurs.

Guides avec correctifs à copier-coller

Guide

En-têtes de sécurité

En-têtes de sécurité HTTP à copier-coller pour nginx, Apache (.htaccess), Cloudflare et WordPress : HSTS, X-Content-Type-Options, protection contre l’encadrement, Referrer-Policy et Permissions-Policy.

Guide

HSTS

Ce que fait HSTS, pourquoi commencer par un max-age court, quand utiliser includeSubDomains et preload, avec des lignes à copier-coller pour nginx, Apache et Cloudflare.

Guide

HTTPS et contenu mixte

Forcez HTTPS avec une seule redirection 301, corrigez les avertissements de contenu mixte, évitez les boucles de redirection Cloudflare et mettez à jour les anciens liens http:// dans WordPress avec WP-CLI.

Guide

SPF, DKIM et DMARC

Empêchez les escrocs d’envoyer des e-mails au nom de votre domaine. Enregistrements SPF et DMARC à copier-coller pour Google Workspace et Microsoft 365, et un chemin sûr de p=none à p=reject.

Guide

Vérifier la sécurité de votre site

Une méthode gratuite et sans risque pour vérifier la sécurité de votre site : HTTPS, en-têtes de sécurité, enregistrements e-mail, mises à jour WordPress et fichiers exposés, avec les commandes exactes et le résultat attendu.

Guide

Les notes de sécurité A–F

Comment est calculée la note de sécurité A–F de HackGrade : des points selon la gravité de chaque problème, un plafond par catégorie, et les règles qui limitent la note en cas de problème critique ou à risque élevé.

Guide

Check-list sécurité pour petites entreprises

Une check-list pratique de sécurité web pour les petites entreprises : HTTPS, mises à jour, sauvegardes, connexion en deux étapes, en-têtes de sécurité, enregistrements e-mail, protection du domaine et surveillance, avec des liens vers des correctifs pas à pas.

Autres tests gratuits

Gratuit · Immédiat · Sans inscription

Découvrez votre note avant quelqu’un d’autre.

Analyse passive. Rien n’est attaqué sans votre autorisation.

Gratuit pour commencer. Offres payantes dès 12 $ par mois, ou un rapport unique à 29 $. Voir les tarifs