Mon site internet est-il sécurisé ? Le vérifier sans être développeur

Vous pouvez vérifier l'essentiel vous-même, en un quart d'heure et sans rien installer : le cadenas s'affiche-t-il, Google signale-t-il votre site comme dangereux, y a-t-il des pages que vous n'avez jamais créées, et qui détient les accès d'administration ? Cela ne prouve pas que le site est inattaquable, mais cela repère les problèmes visibles. Pour le reste, envoyez à votre prestataire, ou collez dans votre outil d'IA, le message tout prêt plus bas.

Ce que « sécurisé » veut dire pour un petit site

« Sécurisé » n'est pas une case qu'on coche une fois pour toutes. Pour un site vitrine, une petite boutique en ligne ou une application créée avec l'IA, cela recouvre cinq choses :

• La connexion est chiffrée. C'est le rôle du HTTPS, signalé par le petit cadenas à gauche de l'adresse : ce que le visiteur tape (e-mail, message, numéro de carte) voyage chiffré entre son navigateur et votre site, illisible pour qui l'intercepterait.
• Personne n'est entré. Pas de pages ajoutées par un inconnu, pas de redirection vers un autre site, pas d'alerte de Google.
• Les comptes qui pilotent le site sont bien verrouillés. L'hébergeur, le nom de domaine, l'outil de création du site (WordPress, Wix, Shopify, Lovable…) et la messagerie. Qui entre dans l'un d'eux peut prendre la main sur tout le reste.
• Rien de secret n'est exposé. Votre site communique avec d'autres services : paiement, envoi d'e-mails, base de données clients, IA. Il utilise pour cela des clés, l'équivalent de mots de passe. Certaines ne doivent jamais se retrouver dans le code que chaque visiteur télécharge.
• Chacun ne voit que ses propres données. Si vos clients ont un compte, l'un ne doit pas pouvoir ouvrir les commandes d'un autre.

Les trois premiers points se vérifient depuis un navigateur. Les clés exposées, un outil d'analyse peut les repérer de l'extérieur. Pour le dernier, il faut quelqu'un qui a accès au code, ou un test à la main : connectez-vous avec deux comptes différents et vérifiez que le second ne peut pas ouvrir, avec le même lien, la commande ou le profil du premier.

Vérifiez vous-même en un quart d'heure

Faites-le sur l'adresse réelle du site, pas sur un lien d'aperçu de votre outil de création. Prévoyez un ordinateur et votre téléphone.

1. Ouvrez le site en navigation privée. Dans Chrome : menu ⋮, puis « Nouvelle fenêtre de navigation privée » (Ctrl+Maj+N, ou Cmd+Maj+N sur Mac). Dans Safari et Firefox : « Nouvelle fenêtre privée ». Une fenêtre privée n'utilise pas vos connexions enregistrées : vous voyez le site comme un inconnu. Collez-y ensuite l'adresse d'une page qui devrait être réservée, comme votre espace d'administration, un tableau de bord ou une page « Mon compte ». Vous devez tomber sur une page de connexion, pas sur le contenu.
2. Regardez le cadenas. Tapez l'adresse de votre site en commençant par http:// au lieu de https://. Le navigateur doit basculer tout seul vers https://. À gauche de l'adresse, vous devez voir un cadenas ou, dans les versions récentes de Chrome, une petite icône de réglages. Si le navigateur affiche « Non sécurisé », ou une page d'alerte comme « Votre connexion n'est pas privée », c'est la priorité : un visiteur qui voit cet avertissement a toutes les raisons de repartir.
3. Vérifiez la date du certificat. Le certificat est la carte d'identité du site : c'est lui qui fait apparaître le cadenas, et il a une date d'expiration. Dans Chrome, cliquez sur l'icône à gauche de l'adresse, puis sur « La connexion est sécurisée » et sur « Le certificat est valide » : la fenêtre qui s'ouvre indique sa période de validité. Beaucoup d'hébergeurs le renouvellent automatiquement. S'il expire dans quelques jours, demandez si c'est bien le cas chez vous.
4. Demandez à Google si votre site est jugé dangereux. Collez votre adresse dans l'outil État du site de la Navigation sécurisée Google. Il indique si Google signale actuellement votre site pour des logiciels malveillants ou de l'hameçonnage, c'est-à-dire de fausses pages qui imitent une banque ou un service pour voler des identifiants. Si vous avez un compte Google Search Console, le rapport « Problèmes de sécurité » donne la même information, avec des exemples de pages touchées.
5. Cherchez les pages que vous n'avez pas écrites. Tapez site:votre-site.fr dans Google, avec votre propre adresse, et parcourez les résultats. Des pages dans une langue que vous n'utilisez pas, des offres de médicaments, de casino ou de contrefaçons : c'est un signe classique de piratage.
6. Testez sur votre téléphone, en 4G ou 5G. Coupez le Wi-Fi et ouvrez le site. Certains piratages ne redirigent vers un autre site que les visiteurs sur mobile, ou ceux qui arrivent depuis Google : cherchez donc aussi le nom de votre entreprise sur Google depuis le téléphone, et cliquez sur le résultat. Un téléphone qui n'a jamais visité le site affiche aussi les avertissements que votre ordinateur a peut-être déjà acceptés.
7. Faites l'inventaire des accès. Notez qui peut se connecter à l'hébergement, au nom de domaine, à l'administration du site et à la messagerie : vous, votre prestataire actuel, et peut-être un ancien prestataire ou un stagiaire parti depuis longtemps. Supprimez les accès inutiles, changez les mots de passe partagés et activez la double authentification partout où elle existe : un code reçu sur le téléphone en plus du mot de passe. Au passage, vérifiez que le nom de domaine se renouvelle automatiquement et que la carte bancaire enregistrée n'a pas expiré.
8. Demandez la date des dernières mises à jour et de la dernière sauvegarde. Sur WordPress, le cœur du site, le thème et les extensions doivent être à jour : une extension laissée à l'abandon depuis des années est une porte d'entrée classique. Une sauvegarde est une copie complète du site et de ses données, à conserver ailleurs que chez l'hébergeur ; demandez aussi si quelqu'un a déjà essayé de la restaurer. Si votre site est sur une plateforme comme Wix, Shopify ou Squarespace, les mises à jour sont à la charge de la plateforme ; votre part, ce sont les accès et les applications que vous y avez ajoutées.

Si votre site utilise des statistiques de visite ou de la publicité, ajoutez un neuvième contrôle, celui du bandeau cookies : il est détaillé dans Bandeau cookies : votre site est-il en règle avec le RGPD ?

Ce que le navigateur ne vous montrera pas

Certaines failles ne se voient pas à l'œil nu, même en cherchant bien :

• Une clé secrète dans le code public. Le code qui fait fonctionner une page est envoyé à chaque visiteur. Si une clé de paiement (Stripe), d'IA (OpenAI) ou d'accès complet à la base de données s'y trouve, n'importe qui peut la copier et s'en servir à vos frais. C'est un oubli courant sur les sites construits avec des outils d'IA comme Lovable, Bolt ou Cursor : voyez ce qu'il faut vérifier sur un site créé avec l'IA.
• Une base de données ouverte. Les fiches clients ou les messages du formulaire de contact peuvent être lisibles par n'importe qui si les règles d'accès de la base n'ont pas été activées.
• Les en-têtes de sécurité. Ce sont des consignes que votre site envoie au navigateur avec chaque page, par exemple « ne m'affiche jamais à l'intérieur d'un autre site » ou « passe toujours par le HTTPS ». Le visiteur ne les voit pas, mais elles bloquent des attaques courantes. Pour vous faire une idée, l'HTTP Observatory de Mozilla attribue une note de A+ à F. Une note basse se corrige en général par un petit réglage chez l'hébergeur, et une bonne note, à elle seule, ne prouve pas que le site est sûr.
• Les faux e-mails envoyés à votre nom. Sans deux réglages du nom de domaine, appelés SPF et DMARC, il est bien plus facile pour un escroc d'envoyer un e-mail qui semble venir de contact@votre-site.fr, par exemple une fausse facture adressée à vos clients.

Pour tout cela, il faut un outil d'analyse ou la personne qui gère le site.

Le message à envoyer à votre prestataire (ou à votre IA)

Pas besoin de connaître les termes techniques. Copiez ce message et envoyez-le à la personne qui s'occupe du site. Si vous l'avez construit vous-même, collez-le dans votre outil d'IA (ChatGPT, Claude, Lovable, Cursor…).

Bonjour,

Je voudrais faire le point sur la sécurité du site [adresse du site].
Je ne suis pas du métier : pouvez-vous répondre point par point, en
langage simple (oui ou non, plus une phrase), sans rien modifier pour
l'instant ?

- Toutes les pages passent-elles en https, et l'adresse en http://
  redirige-t-elle vers https:// ? Jusqu'à quand le certificat est-il
  valable, et se renouvelle-t-il automatiquement ?
- Le CMS, le thème et les extensions sont-ils à jour ? Lesquels ne sont
  plus maintenus ?
- Y a-t-il une clé secrète (paiement, IA, e-mail, base de données) dans
  le code envoyé aux visiteurs ? Si oui, laquelle et où ?
- Un visiteur non connecté, ou un client, peut-il lire des données qui
  appartiennent à quelqu'un d'autre (comptes, commandes, formulaires) ?
  Comment l'avez-vous vérifié ?
- Quels en-têtes de sécurité le site envoie-t-il (HSTS,
  Content-Security-Policy, protection contre l'affichage dans un autre
  site), et lesquels manquent ?
- Le domaine a-t-il des enregistrements SPF et DMARC ?
- Qui a un accès administrateur à l'hébergement, au domaine et au site ?
  La double authentification est-elle activée partout ?
- De quand date la dernière sauvegarde, où est-elle stockée, et a-t-on
  déjà testé une restauration ?

Pour chaque point à corriger, indiquez-moi le délai, et comment je
pourrai vérifier moi-même que c'est réglé.

Si quelque chose ne va pas

• Alerte de Google ou pages inconnues. Prévenez tout de suite votre hébergeur ou votre prestataire, changez les mots de passe de l'hébergement et de l'administration, puis faites nettoyer le site avant de demander à Google de le réexaminer, depuis le rapport « Problèmes de sécurité » de la Search Console. Le service public 17Cyber, sur Cybermalveillance.gouv.fr, établit un diagnostic en quelques questions, donne des conseils et peut vous orienter vers un prestataire spécialisé.
• Données de clients accessibles à tous. Faites d'abord fermer l'accès. Si des données personnelles ont pu être lues, le RGPD peut vous obliger à le signaler à la CNIL dans les 72 heures, et parfois à prévenir les personnes concernées : la CNIL détaille les règles à suivre en cas de violation de données. Ceci n'est pas un conseil juridique : en cas de doute, demandez l'avis d'un avocat ou d'un juriste.
• Certificat expiré. C'est souvent un renouvellement automatique qui a échoué ; l'hébergeur peut le relancer.
• Accès d'anciens prestataires. Fermez-les sans attendre, même si la séparation s'est bien passée.

La CNIL résume les bonnes pratiques dans sa fiche Sécuriser les sites web : HTTPS sur tout le site, accès d'administration réservés aux personnes qui en ont besoin, composants tenus à jour, cookies protégés, recherche régulière de vulnérabilités. C'est une bonne base à transmettre à votre prestataire.

Vérifier automatiquement avec ScanYourSite

Une vérification comme celle-ci est une photo à un instant donné. La prochaine mise à jour, une nouvelle extension ou un prompt de plus à votre outil d'IA peut défaire une correction sans que personne ne s'en aperçoive.

ScanYourSite fait pour vous la partie « vue de l'extérieur » de cette liste. La vérification gratuite se fait sans inscription et prend environ une minute. Elle regarde votre site comme le ferait un navigateur : elle ne se connecte à aucun compte, ne remplit aucun formulaire et ne cherche à deviner aucun mot de passe. Elle vérifie notamment :

• la redirection vers https et la date d'expiration du certificat ;
• les en-têtes de sécurité manquants et les cookies mal protégés ;
• les clés secrètes visibles dans le code envoyé aux visiteurs ;
• la protection du domaine contre les faux e-mails (SPF, DMARC) ;
• la date d'expiration du nom de domaine, quand le registre la publie (c'est le cas du .fr et du .com, mais pas de tous les domaines) ;
• les erreurs JavaScript et les fichiers qui ne se chargent pas ;
• les traceurs de statistiques ou de publicité qui tournent sans outil de consentement reconnu.

Elle ne clique pas sur votre bandeau cookies : pour savoir si un refus bloque vraiment les traceurs, le test à la main de l'article sur le bandeau reste nécessaire.

Le rapport classe tous les problèmes trouvés par gravité. Dans la version gratuite, les trois plus importants sont expliqués en mots simples, avec la façon de les corriger et un message à coller dans votre outil d'IA ; Pro les explique tous. Astuce : l'adresse https://scanyoursite.app/fr?check=votre-site.fr, avec votre propre domaine, ouvre la page avec l'adresse déjà saisie ; il ne vous reste qu'à lancer la vérification.

Un compte gratuit surveille un site : une vérification par semaine, un résumé hebdomadaire par e-mail et une alerte avant l'expiration du certificat. Pro (19 € par mois, trois sites) vérifie tout le site chaque jour, contrôle en quelques minutes après chaque mise en ligne que le site s'affiche et qu'aucune clé secrète n'a fuité, vérifie toutes les cinq minutes que le site répond et vous prévient dès qu'un nouveau problème sérieux apparaît. Sur Pro, une fois que vous avez prouvé que le domaine vous appartient, ScanYourSite recherche aussi les fichiers qui ne devraient jamais être publics, comme .env, où sont rangés les réglages secrets, et, si votre site utilise Supabase, compte les lignes de ses tables lisibles par un inconnu, sans jamais lire leur contenu.

Aucune vérification, celle-ci comprise, ne prouve qu'un site est inattaquable, et aucune ne remplace un audit professionnel si vous traitez vous-même des paiements ou des données sensibles, comme des données de santé. Elle vous dit ce qui cloche aujourd'hui et par quoi commencer.