Comment tester la sécurité de son site web gratuitement
« Mon site est-il vraiment sécurisé ? » C'est une question saine, et la bonne nouvelle est que vous pouvez y répondre en quelques minutes, gratuitement et sans rien installer. On imagine souvent que la sécurité d'un site est une affaire d'experts qui plongent dans le code source. C'est faux pour l'essentiel : la majorité des failles courantes ne se cachent pas dans le code, elles sont visibles dans la configuration publique du site.
Le certificat HTTPS, les en-têtes de réponse envoyés par le serveur, les fichiers laissés accessibles par mégarde, les enregistrements DNS de votre domaine : tout cela est observable de l'extérieur, par n'importe qui — y compris par les robots qui scrutent le web en quête de cibles faciles. Autant le vérifier vous-même en premier. Voici la méthode complète, de la vérification au correctif.
Ce qu’il faut vérifier en priorité
Quatre familles de contrôles couvrent l'essentiel du risque pour un site classique. Le chiffrement d'abord : un certificat HTTPS valide et à jour, avec redirection automatique depuis HTTP et sans protocoles obsolètes (TLS 1.0/1.1). Les en-têtes de sécurité ensuite (HSTS, CSP, X-Frame-Options, X-Content-Type-Options…), qui protègent vos visiteurs directement dans leur navigateur contre le vol de session, le clickjacking et les injections de scripts.
Vient ensuite l'exposition de fichiers sensibles : un fichier .env contenant vos mots de passe de base de données, un dossier .git, une sauvegarde .zip ou .sql oubliée à la racine sont autant de portes ouvertes. Enfin, la protection de votre domaine contre l'usurpation d'e-mail (SPF, DMARC, CAA), souvent négligée, qui empêche un attaquant d'envoyer des e-mails de phishing en se faisant passer pour vous.
Le point commun de ces quatre familles : aucune ne nécessite d'accéder à votre serveur ni à votre code. Tout se diagnostique depuis l'extérieur.
Méthode 1 : la vérification manuelle rapide
Vous pouvez déjà repérer beaucoup de choses à l'œil nu. Regardez la barre d'adresse : voit-on https:// et un cadenas, ou « Non sécurisé » ? Tapez l'adresse en http:// (sans le s) : êtes-vous bien redirigé automatiquement vers la version sécurisée ? Cliquez sur le cadenas pour consulter la date d'expiration du certificat.
Pour aller plus loin sans outil, ouvrez les outils de développement de votre navigateur (touche F12), onglet « Réseau », rechargez la page et cliquez sur la première requête : la section « En-têtes de réponse » vous montre les en-têtes de sécurité présents… ou absents. Testez aussi quelques URL sensibles à la main, comme votresite.fr/.env ou votresite.fr/.git/config : elles doivent renvoyer une erreur, jamais du contenu.
Méthode 2 : le scan automatisé (le plus rapide)
Plutôt que de vérifier chaque point à la main, un scanner de surface fait le travail en quelques secondes. Saisissez l'adresse de votre site dans CheckCyber : l'outil contrôle 24 vecteurs de sécurité, attribue un score sur 100 et, pour chaque problème détecté, fournit le correctif exact à appliquer. C'est gratuit, anonyme et sans inscription.
L'audit est non-intrusif : il n'effectue aucune attaque, seulement des lectures équivalentes à ce que fait un navigateur ou un moteur de recherche. Vous obtenez une photo claire de votre posture, que vous pourrez refaire après chaque correctif pour mesurer vos progrès.
Interpréter le score et prioriser
Tous les problèmes n'ont pas la même gravité. Traitez d'abord les alertes critiques : un certificat invalide ou expiré, un fichier sensible exposé, un protocole de chiffrement obsolète. Ce sont elles qui exposent réellement vos données ou celles de vos visiteurs. Passez ensuite aux en-têtes de sécurité manquants, puis aux points de faible gravité (fuite de version, security.txt, CAA).
Un repère simple : un score au-dessus de 90 traduit une posture solide ; en dessous de 50, une intervention est recommandée sans tarder. Relancez un audit après chaque changement — c'est la seule façon de confirmer qu'un correctif a bien pris effet en production, où un cache ou un CDN peut parfois masquer vos modifications.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Faut-il installer un logiciel pour tester son site ?
Non. Un audit de surface s'effectue entièrement en ligne, depuis votre navigateur. Vous saisissez l'adresse de votre site et obtenez le rapport en quelques secondes, sans rien télécharger ni installer.
▸Tester son propre site est-il légal ?
Oui, vous pouvez auditer un site que vous possédez ou pour lequel vous avez une autorisation explicite. Un audit de surface se limite à des informations publiques et n'effectue aucune intrusion. En revanche, scanner activement un site tiers sans autorisation peut être illégal selon votre pays.
▸À quelle fréquence retester mon site ?
Après chaque modification de configuration ou mise à jour majeure, et au minimum une fois par trimestre. Certains réglages se dégradent silencieusement avec le temps : un certificat qui n'est plus renouvelé, une extension qui retire un en-tête, un fichier de sauvegarde déposé à la racine.
▸Un bon score garantit-il que mon site est inviolable ?
Non. Un audit de surface élimine les risques les plus courants et les plus exploités, mais il ne remplace pas un test d'intrusion approfondi sur la logique applicative (authentification, droits d'accès, injections). C'est un excellent socle, pas une garantie absolue.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-06-29 ]