Vérificateur de sécurité de site web
Vérifiez la configuration HTTPS d'un site, ses en-têtes de sécurité, les attributs de ses témoins et le contenu mixte, puis obtenez une note et des correctifs en langage clair pour chaque problème.
Site à vérifier
Note de sécurité
Lancez une vérification pour voir votre note.
Résultats
En-têtes reçus
Pourquoi la sécurité d'un site est aussi une question de marketing
Une configuration faible peut exposer vos visiteurs au vol de données, faire signaler votre site par les navigateurs et miner la confiance que vous avez durement gagnée. Les petites entreprises n'y échappent pas. Les attaques automatisées analysent tous les sites qu'elles trouvent, peu importe leur taille.
Ce que ce vérificateur examine
Entrez une URL publique et l'outil récupère la page, lit ses en-têtes de réponse et compare chacun aux bonnes pratiques actuelles. Les résultats s'affichent en vert pour ce qui est bon, en orange pour ce qui est à améliorer et en rouge pour ce qui demande votre attention, chacun avec une correction précise.
- HTTPS et redirections : si le site est chiffré et si les visiteurs en http sont envoyés vers https.
- Strict-Transport-Security (HSTS) : indique aux navigateurs de toujours se connecter en https.
- Content-Security-Policy (CSP) : limite les scripts et ressources qui peuvent se charger, la meilleure défense contre le cross-site scripting.
- X-Frame-Options : empêche d'autres sites d'intégrer vos pages dans un cadre pour du détournement de clic.
- X-Content-Type-Options : empêche les navigateurs de deviner les types de fichiers, ce qui bloque les attaques par reniflage MIME.
- Referrer-Policy et Permissions-Policy : limitent les fuites de données et les fonctions de navigateur inutilisées.
- Témoins, divulgation de version et contenu mixte : attributs des témoins (cookies), numéros de version des logiciels et ressources http sur des pages https.
L'ancien en-tête X-XSS-Protection est affiché à titre indicatif seulement. Les navigateurs modernes ne l'utilisent plus, il n'influence donc pas votre note.
Il s'agit d'une vérification passive des en-têtes, pas d'un test d'intrusion. Elle ne cherche ni logiciels malveillants, ni extensions désuètes, ni vulnérabilités du serveur.
Questions fréquentes
Comment ajouter des en-têtes de sécurité dans WordPress?
Vous pouvez les définir dans la configuration de votre serveur (Apache .htaccess ou Nginx), dans votre CDN comme Cloudflare, ou avec un petit extrait de code dans votre thème. Votre hébergeur peut souvent les ajouter pour vous.
Une Content-Security-Policy stricte peut-elle briser mon site?
Oui, si elle bloque des scripts dont vous dépendez, comme l'analytique ou les widgets de clavardage. Déployez-la d'abord avec Content-Security-Policy-Report-Only, examinez les rapports, puis appliquez-la.
À qui s'adresse cet outil?
Aux propriétaires de sites, aux développeurs Web, aux agences qui vérifient les sites de leurs clients et à toute personne curieuse de savoir à quel point un site protège ses visiteurs.