AUDIT SÉCURITÉ WEB

Ce que vérifie l'audit

• Chiffrement : HTTPS, redirection depuis HTTP, validité et échéance du certificat, versions de TLS acceptées. TLS 1.0 et 1.1 sont abandonnés par tous les navigateurs depuis 2020.
• En-têtes de sécurité : HSTS, Content-Security-Policy, protection contre l'intégration dans un cadre, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
• Discrétion : versions de logiciels annoncées par le serveur ou la page, fichier security.txt.
• Cookies : attributs Secure, HttpOnly et SameSite des cookies déposés dès l'accueil.
• DNS et messagerie : CAA, DNSSEC, SPF et DMARC, qui protègent votre nom contre l'usurpation.

L'audit reconnaît le serveur web (Nginx, Apache, LiteSpeed, Caddy, IIS) et prépare les lignes de configuration qui corrigent ce qu'il a relevé. Vous pouvez basculer d'un serveur à l'autre, par exemple pour préparer une migration.

Lire la note

Chaque contrôle pèse selon son importance : un certificat invalide ou l'absence de HTTPS plafonnent la note, quel que soit le reste. Une note A n'est pas un certificat de sécurité : l'audit regarde la façade, pas les applications, les mots de passe ni les mises à jour. C'est un point de départ, et souvent une liste de corrections d'une heure.

Ce que l'audit ne fait pas

Il ne cherche pas de faille, n'essaie aucun mot de passe et ne soumet aucun formulaire : il lit ce que votre site montre à n'importe quel visiteur. Pour aller plus loin, une détection d'intrusion comme CrowdSec et une supervision de sécurité comme Wazuh surveillent ce qui se passe réellement sur vos serveurs.