Nous auditons la sécurité de votre site et de son hébergement sans rien casser, après accord écrit : versions, extensions, comptes, droits de fichiers, serveur, en-têtes HTTP, TLS, sauvegardes, journaux. Vous recevez un rapport priorisé avec des corrections proposées, sur devis écrit et gratuit, à distance. Le devis est établi après un premier examen.
On fait auditer un site avant un incident, avant un appel d’offres, après un changement de prestataire, ou parce qu’un client ou un assureur le demande. L’intérêt est de savoir où l’on en est avant qu’un pirate le découvre à votre place.
Un audit n’est pas un nettoyage. Si votre site est déjà infecté, la démarche est différente : voyez plutôt la page nettoyage de site piraté. Ici, le site fonctionne, et la question est de savoir ce qui pourrait mal tourner.
Ce que nous prenons en charge
Inventaire des versions et des composants
Version du CMS, du thème, des extensions, de PHP, de la base de données et du système. Nous repérons les composants abandonnés, les correctifs de sécurité en retard et les extensions installées mais inutilisées, qui élargissent la surface d’attaque pour rien.
Comptes, droits et authentification
Liste des comptes administrateurs, rôles trop larges, comptes d’anciens prestataires, mots de passe réutilisés ou jamais changés, absence de double authentification. Nous vérifions aussi les accès SFTP, SSH et base de données ouverts depuis Internet.
Fichiers, permissions et configuration
Propriétaires et droits des dossiers, fichiers de configuration lisibles, sauvegardes oubliées dans la racine web, fichiers .env ou .git exposés, exécution de PHP dans les dossiers d’envoi. Chaque constat est situé précisément pour être corrigé sans chercher.
Serveur web, TLS et en-têtes HTTP
Configuration de nginx ou d’Apache, versions de TLS acceptées, validité et chaîne du certificat, redirection vers HTTPS, en-têtes de sécurité comme Content-Security-Policy, Strict-Transport-Security ou X-Content-Type-Options. Ces contrôles s’appuient sur les recommandations de l’OWASP et de l’ANSSI.
Sauvegardes et capacité de reprise
Existence, fréquence, emplacement et chiffrement des sauvegardes, présence d’une copie hors serveur, test de restauration réel. Un site bien protégé mais impossible à restaurer reste fragile.
Journaux et traces d’intrusion
Lecture des journaux d’accès et d’erreurs, recherche de scans, de tentatives de connexion répétées, de fichiers récents anormaux. Si une compromission passée apparaît, nous vous le signalons avec les éléments constatés.
Rapport priorisé et corrections
Le rapport classe chaque constat par gravité et facilité de correction, avec la manière de le résoudre. Nous pouvons appliquer les corrections sur devis séparé, après sauvegarde, ou les remettre à votre prestataire habituel.
Comment ça se passe
Précisez le périmètre
Indiquez les sites, domaines et serveurs concernés, ainsi que la raison de l’audit. Nous n’examinons que des systèmes dont vous êtes titulaire ou pour lesquels vous disposez d’une autorisation écrite du titulaire.
Laissez-nous examiner en lecture seule
Nous vous indiquons l’accès en lecture nécessaire (administration du site, espace client de l’hébergeur, serveur) et nous vous guidons pour nous le donner, par téléphone si besoin. Cet examen ne modifie ni ne supprime rien, et tout ce que nous voyons reste strictement confidentiel.
Acceptez un devis écrit et gratuit
Établi après l’examen, il fixe le périmètre, la nature des contrôles et le format du rapport. Le prix dépend du nombre de sites, de la complexité de l’hébergement et de la profondeur demandée. L’audit complet démarre après votre accord écrit et le règlement en totalité.
Recevez et discutez le rapport
Le rapport vous est remis par écrit, puis commenté avec vous, avec la liste des mots de passe à changer si l’audit en révèle de fragiles. Vous décidez des corrections à engager. Toute correction que nous réalisons ensuite est garantie 30 jours.
Questions fréquentes
Combien coûte un audit de sécurité de site web ?
Tout est sur devis. Le montant dépend du nombre de sites, de la technologie, de la complexité de l’hébergement et de la profondeur demandée. Le devis est écrit, gratuit et remis avant tout contrôle.
Réalisez-vous des tests d’intrusion offensifs ?
Non, pas sur un système dont vous n’êtes pas titulaire, et jamais sans accord écrit. Notre audit est non destructif : nous lisons les configurations, les versions et les journaux. Aucun test de charge ni exploitation de faille ne vise un site tiers.
L’audit peut-il casser mon site ?
La démarche est conçue pour que non : nous travaillons en lecture, sans modifier les fichiers ni la base. Si un contrôle pouvait avoir un effet sur le site en production, nous vous le proposons à part, après sauvegarde et avec votre accord.
Que contient le rapport ?
Un résumé lisible par un dirigeant, puis le détail technique : constats, preuve de chacun, niveau de risque, correction conseillée et ordre de traitement. Il distingue ce qui est urgent de ce qui peut attendre. Il ne contient aucun mot de passe.
Un audit remplace-t-il une maintenance régulière ?
Non. Un audit donne une photographie à un instant précis. Les mises à jour, les sauvegardes et la surveillance doivent ensuite être suivies dans la durée. La page maintenance de site web décrit ce suivi.