Un audit de sécurité de site web montre où votre site est vulnérable aujourd'hui et dans quel ordre corriger. Nous vérifions le CMS, les extensions, le serveur, le chiffrement, les formulaires, les accès et les sauvegardes, confirmons chaque constat à la main et remettons un rapport priorisé. Si vous le souhaitez, nous corrigeons nous-mêmes, puis nous refaisons le contrôle.
Ce que couvre l'audit
L'audit porte sur tout ce qu'un attaquant voit et peut atteindre depuis internet, plus la configuration à laquelle vous nous donnez accès. Vous saurez quels composants sont obsolètes, quels réglages ouvrent une faille et si le site repartirait après une panne.
Les points examinés :
- CMS et extensions. Version de WordPress, PrestaShop, Drupal ou Joomla, chaque extension et thème, composants abandonnés par leur éditeur.
- Serveur et hébergement. Version de PHP, ports ouverts, listage des répertoires, droits sur les fichiers, accès au panneau d'hébergement, à SSH et à la base de données.
- Chiffrement et en-têtes. Versions de TLS et certificat, redirection vers HTTPS, en-têtes de sécurité comme Content-Security-Policy et Strict-Transport-Security, attributs HttpOnly et Secure des cookies.
- Connexion, dépôt de fichiers, formulaires. Limitation des tentatives, double authentification des administrateurs, types de fichiers acceptés, protection des formulaires contre les robots.
- Domaine et messagerie. SPF, DKIM et DMARC, pour qu'un tiers ne puisse pas envoyer de fausses factures à votre nom.
- Sauvegardes. Emplacement des copies, séparation d'avec le serveur de production, restauration réellement testée.
Les référentiels utilisés : CNIL, ANSSI et OWASP
Chaque constat est rattaché à une exigence publiée, que votre développeur peut consulter lui-même. Nous nous appuyons sur le guide de la CNIL, les recommandations de l'ANSSI et l'OWASP Top 10:2025.
| Exigence | Ce qu'elle signifie pour votre site | Source |
|---|---|---|
| TLS obligatoire sur les pages d'authentification et celles qui affichent ou transmettent des données personnelles | HTTPS partout, aucune page de connexion en clair | CNIL, Guide de la sécurité des données personnelles 2024, fiche « Sécuriser les sites web » |
| Options HttpOnly et Secure sur tous les cookies | cookies de session illisibles par les scripts et envoyés seulement en HTTPS | CNIL, même fiche |
| Aucune donnée personnelle dans une URL | identifiants et mots de passe hors des adresses de pages | CNIL, même fiche |
| TLS 1.0 et 1.1 à proscrire, SHA-1 à abandonner | configuration TLS à jour ; la CNIL a sanctionné des organismes sur ces points en 2024 | CNIL, sanctions en procédure simplifiée, 12 mars 2024 |
| Extensions et thèmes limités au strict nécessaire et activement maintenus | inventaire des extensions, suppression de celles qui sont abandonnées | ANSSI, Les essentiels : mise en œuvre sécurisée d'un CMS |
| Authentification multifacteur pour les administrateurs | double authentification sur chaque compte d'administration | ANSSI, même document |
| A02:2025 Security Misconfiguration | comptes par défaut, messages d'erreur bavards, services inutiles | OWASP Top 10:2025 |
| A03:2025 Software Supply Chain Failures | extensions, thèmes et bibliothèques vulnérables ou obsolètes | OWASP Top 10:2025 |
Scan de vulnérabilités et vérification humaine
Le scan automatique de vulnérabilités ouvre l'audit. La vérification humaine transforme ensuite la liste brute en rapport exploitable.
Un scanner signale beaucoup d'alertes sans danger dans votre configuration et rate les liens entre les éléments : une extension à jour qui accepte pourtant n'importe quel type de fichier, un compte administrateur laissé par un ancien prestataire, une archive de sauvegarde posée dans un dossier public. Nous confrontons chaque alerte à votre installation réelle, écartons les faux positifs et ajoutons ce qu'aucun outil ne voit.
Nous ne testons que des systèmes dont le propriétaire a signé la lettre de cadrage. Si votre site est hébergé par une agence ou un hébergeur mutualisé, nous vérifions d'abord que leurs conditions autorisent un contrôle de sécurité.
Le rapport et l'ordre des corrections
Vous recevez un rapport qui décrit chaque vulnérabilité confirmée, évalue sa gravité et fixe un ordre de traitement. La direction lit la synthèse ; le développeur travaille avec l'annexe technique.
Le rapport comprend :
- une synthèse en langage simple : état du site, urgences ;
- chaque constat avec sa preuve, le composant concerné et son niveau de gravité ;
- trois priorités : à corriger aujourd'hui, dans le mois, plus tard ;
- des actions concrètes par constat, rédigées pour que votre équipe ou votre prestataire puisse les appliquer ;
- l'état des sauvegardes et le résultat d'un test de restauration, s'il est prévu dans la mission.
Le rapport vous appartient. Vous pouvez le transmettre à votre DPO, à votre assureur ou à un client qui demande une preuve de diligence.
Corrections et contre-audit
Après le rapport, nous corrigeons nous-mêmes ou avec votre développeur. Nous contrôlons ensuite les mêmes points et confirmons par écrit ce qui est fermé.
Les corrections courantes : mises à jour du CMS et des extensions, suppression des composants abandonnés, double authentification pour tous les administrateurs, en-têtes de sécurité, droits de fichiers corrigés, sauvegarde hors du serveur avec restauration testée. Marketing MIX conçoit et maintient des sites d'entreprise. Nous savons donc qu'un réglage serveur peut casser un formulaire ou un tunnel de commande, et nous les testons après chaque intervention. Notre groupe exploite ses propres serveurs et suit plus de 80 sites avec un contrôle quotidien des vulnérabilités.
Ce dont nous avons besoin
Il nous faut un interlocuteur qui peut décider et les accès prévus par la lettre de cadrage : la liste des domaines et sous-domaines à auditer, un accès administrateur au CMS ou un compte dédié à l'audit, l'accès à l'hébergement si la configuration est dans le périmètre, la liste des systèmes à laisser intacts et la lettre de cadrage signée. Aucun test ne démarre avant la signature.
Les limites de l'audit
L'audit évalue l'état technique du site à une date donnée. Il n'exploite aucune faille, c'est pourquoi il reste distinct d'un test d'intrusion, disponible sur demande.
Nous ne sommes ni la CNIL ni un organisme de certification, et le rapport n'a pas valeur de certificat. Nous ne rendons pas d'avis juridique : la conformité au RGPD relève de votre DPO ou de votre avocat. De nouvelles vulnérabilités d'extensions sont publiées en continu ; le rapport décrit donc l'état au jour de l'audit. Personne ne peut garantir qu'un site ne sera jamais attaqué.
Les risques des scanners gratuits, d'un chatbot ou d'un prestataire sans cadre
Les scanners gratuits voient uniquement la surface et donnent une note sans contexte. Un chatbot ne connaît ni vos extensions ni vos journaux, et peut recommander un réglage qui bloque votre formulaire chez votre hébergeur.
Un prestataire qui teste sans autorisation écrite du propriétaire expose les deux parties à un risque juridique : l'accès frauduleux à un système est puni par le Code pénal. Sans contre-audit, rien ne prouve qu'une faille est réellement fermée. Nous travaillons sous contrat, avec un périmètre fixe et une lettre de cadrage signée ; chaque constat est vérifié par une personne et le contre-audit fait partie de la mission.
Déroulé et prix
La mission suit cinq étapes : échange, lettre de cadrage, audit et rapport, corrections, contre-audit. Vous connaissez le prix ferme avant le démarrage.
Il dépend du nombre de sites et de serveurs, du CMS, des espaces connectés et des intégrations, et de la prise en charge des corrections. Les missions de sécurité sont conclues avec INNOVA CONSULT LTD., Ottawa, Ontario (Corporations Canada, numéro de société 1522612).
Pages liées
- Site internet piraté : que faire, si l'incident a déjà eu lieu.
- RGPD et sécurité du site web, si l'audit doit nourrir votre documentation de l'article 32.
- Retour à la cybersécurité, aux sites d'entreprise ou écrivez-nous.
Sources (vérifiées le 23/10/2026)
- CNIL, Sécurité : sécuriser les sites web, Guide de la sécurité des données personnelles, édition 2024.
- CNIL, Quinze nouvelles sanctions en procédure simplifiée depuis janvier 2024, 12 mars 2024 : TLS 1.0 et 1.1, SHA-1.
- ANSSI, Les essentiels : mise en œuvre sécurisée d'un CMS, v1.1.
- ANSSI, Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur, ANSSI-PA-009, v2.0.
- OWASP, Top 10:2025.
- Règlement (UE) 2016/679, article 32 du RGPD.
Maksym Stepanenko, fondateur de Marketing MIX. Dernière vérification : 23 octobre 2026.