Test sécurité site web : ce qu’il faut retenir

1. Cinq outils gratuits couvrent déjà une grande partie du contrôle de surface : MDN HTTP Observatory, SSL Labs, SecurityHeaders.com, Sucuri SiteCheck et Google Search Console ou Safe Browsing.
2. Chaque outil mesure une chose différente : une mauvaise note sur les headers ne signifie pas automatiquement que le site est piraté, pas plus qu’un A+ TLS ne garantit l’absence de faille WordPress.
3. Un scanner externe voit uniquement ce qui lui est exposé : il ne peut pas examiner de manière exhaustive vos comptes administrateurs, vos permissions de fichiers, vos sauvegardes, votre base de données ou le code serveur non accessible publiquement.
4. Un bon résultat est une photographie, pas une garantie : la configuration peut changer après une mise à jour, un nouveau plugin, une migration d’hébergement ou une modification DNS.
5. Le bon réflexe est de tester, comprendre, corriger puis retester : si les résultats sont difficiles à interpréter ou contradictoires, passez à un diagnostic plus structuré.

En résumé : un test sécurité site web gratuit permet de repérer rapidement des faiblesses visibles. Il est particulièrement utile pour savoir où regarder avant d’engager des corrections, mais il ne remplace ni un audit interne ni un test d’intrusion autorisé.

Résumé généré par IA

Pourquoi tester la sécurité de son site avant d’agir

Lorsque l’on soupçonne un problème de sécurité, le premier réflexe consiste souvent à installer un plugin supplémentaire, modifier le fichier .htaccess ou demander à l’hébergeur d’activer plusieurs protections. Cette approche peut fonctionner, mais elle revient à corriger avant d’avoir mesuré.

Un test sécurité site web permet au contraire de partir d’éléments observables. Votre site force-t-il correctement HTTPS ? Le certificat est-il bien configuré ? Les principaux en-têtes de sécurité sont-ils présents ? Google signale-t-il un problème de sécurité ? Un scanner public voit-il du code malveillant connu ?

Un test sécurité site web ne suffit pas à déterminer si le site est parfaitement sécurisé. Elles permettent toutefois d’éviter une partie du travail à l’aveugle.

Cette démarche complète notre guide sur les mesures à prendre pour sécuriser durablement votre site. Le guide explique quoi protéger ; la présente page montre comment contrôler gratuitement une partie de cette protection depuis l’extérieur.

Un test sécurité site web est donc un point de départ. Il faut ensuite distinguer trois situations : un résultat rassurant à surveiller, des défauts de configuration ciblés à corriger, ou des signaux suffisamment préoccupants pour justifier une analyse plus approfondie.

Les 5 meilleurs outils gratuits pour tester un site en 2026

1. MDN HTTP Observatory : vérifier les en-têtes de sécurité

Le HTTP Observatory, développé par Mozilla et aujourd’hui accessible via MDN, analyse les en-têtes HTTP et plusieurs configurations de sécurité visibles depuis le navigateur. Il contrôle notamment des éléments liés à Content-Security-Policy et HSTS.

Son intérêt est pédagogique : le résultat ne se limite pas à une note. L’outil indique les protections absentes ou perfectibles et fournit des explications permettant de comprendre leur rôle.

Une note moyenne ou faible ne signifie pas que le site contient un malware. Elle indique surtout que certaines protections navigateur ne sont pas configurées selon les recommandations du scanner.

Tester votre site avec MDN HTTP Observatory.

Si le rapport signale plusieurs headers absents, consultez notre dossier pour comprendre et corriger vos en-têtes de sécurité.

2. SSL Labs : contrôler HTTPS et la configuration TLS

SSL Labs, proposé par Qualys, réalise une analyse détaillée de la configuration SSL/TLS d’un serveur web public. Il vérifie notamment le certificat, les protocoles acceptés, certaines suites cryptographiques et plusieurs paramètres liés à la négociation HTTPS.

Dans un test sécurité site web, le résultat SSL Labs est plus technique que celui de certains autres outils, mais la note globale permet déjà de repérer une configuration vieillissante ou incohérente.

Un A ou un A+ indique une bonne configuration TLS selon les critères de l’outil. Cela ne signifie pas que les plugins WordPress sont à jour, que vos comptes administrateurs sont protégés ou que votre code applicatif ne contient aucune vulnérabilité.

Analyser votre certificat et votre configuration TLS avec SSL Labs.

3. SecurityHeaders.com : un contrôle rapide des headers HTTP

SecurityHeaders.com est particulièrement pratique lorsqu’on veut une réponse rapide sur les en-têtes HTTP visibles. Le service attribue une note et indique les headers présents, manquants ou à améliorer.

Il peut notamment faire ressortir l’absence de Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy ou Permissions-Policy selon la configuration observée.

Lors d’un test sécurité site web, ne transformez pas la note en verdict absolu. Un F peut correspondre à plusieurs en-têtes manquants sur un site qui n’est pas compromis. À l’inverse, une excellente note ne prouve pas que le CMS, les plugins et les comptes internes sont sûrs.

Lancer un test sur SecurityHeaders.com.

4. Sucuri SiteCheck : rechercher des signes visibles de malware

Sucuri SiteCheck inspecte à distance ce qu’un visiteur peut recevoir depuis le site. Le service recherche notamment du code malveillant connu, des redirections suspectes, des anomalies visibles, des problèmes de blocklist et certaines informations sur les technologies utilisées.

Sucuri précise lui-même la limite fondamentale de ce type de scanner : puisqu’il travaille à distance, il ne voit que ce qui est accessible au niveau navigateur. Il ne peut pas examiner tous les fichiers du serveur ni garantir qu’une backdoor invisible depuis l’extérieur n’existe pas.

Dans votre test sécurité site web, Sucuri constitue donc un bon outil de vérification rapide, mais pas une preuve d’absence de malware.

Scanner votre site avec Sucuri SiteCheck.

Si votre site utilise WordPress, rapprochez ces résultats de notre dossier sur les failles WordPress les plus exploitées en 2026.

5. Google Search Console et Safe Browsing : vérifier les alertes Google

Google Search Console dispose d’un rapport « Problèmes de sécurité ». Lorsqu’une évaluation Google détecte qu’un site a pu être piraté ou qu’il présente un comportement dangereux pour les visiteurs, ce rapport peut signaler du contenu piraté, du phishing, des téléchargements malveillants ou d’autres problèmes.

Google Safe Browsing permet de son côté de vérifier si une URL est actuellement considérée comme dangereuse à visiter par les systèmes de Google.

Dans un test sécurité site web, ces deux outils Google sont complémentaires. Search Console est particulièrement utile au propriétaire du site, tandis que Safe Browsing fournit un contrôle de statut accessible publiquement.

Comprendre le rapport Problèmes de sécurité de Search Console.

Vérifier le statut d’un site avec Google Safe Browsing.

Comment lire un test sécurité site web sans être développeur

Les notes A, B, C, D ou F donnent envie de conclure immédiatement. Pourtant, elles n’ont pas la même signification d’un outil à l’autre. SSL Labs note la configuration TLS. SecurityHeaders.com et HTTP Observatory évaluent surtout des protections HTTP. Sucuri recherche des signes visibles de compromission. Google s’intéresse aux problèmes de sécurité détectés par ses propres systèmes.

La première règle consiste donc à ne jamais additionner les notes comme si elles formaient un score universel.

Un site qui « marche bien » peut donc recevoir une mauvaise note de sécurité. Le navigateur affiche les pages, les formulaires fonctionnent et les commandes arrivent, mais certaines protections peuvent manquer. À l’inverse, un score technique élevé ne valide pas la sécurité interne du CMS.

Le bon raisonnement est de demander : qu’est-ce que cet outil a réellement testé ?

Ce qu’un scanner de sécurité en ligne ne peut pas vérifier

Un test sécurité site web réalisé par un scanner externe travaille sans identifiant administrateur et sans accès privilégié au serveur. Cette contrainte est précisément ce qui rend ces outils simples et non intrusifs, mais elle limite aussi ce qu’ils peuvent conclure.

Selon l’outil utilisé, un scanner public ne peut généralement pas vérifier de manière exhaustive :

• les comptes administrateurs inconnus ou compromis ;
• les permissions réelles des fichiers côté serveur ;
• les tâches planifiées malveillantes ;
• les modifications cachées dans la base de données ;
• les sauvegardes contaminées ou inutilisables ;
• les journaux d’authentification internes ;
• les secrets stockés dans les fichiers de configuration ;
• une backdoor qui ne renvoie aucun contenu visible au scanner ;
• certaines vulnérabilités masquées ou filtrées par un WAF ;
• les mauvaises pratiques humaines autour des comptes et des mises à jour.

Cette limite explique pourquoi deux sites obtenant une note similaire peuvent avoir des niveaux de risque réel très différents.

Le Contrôle Technique Web Eur’Net assume d’ailleurs cette frontière : l’analyse non intrusive fournit une photographie extérieure documentée, mais ne se substitue pas à un test d’intrusion ou à une analyse interne autorisée.

Que faire selon le résultat de votre scanner

Votre site obtient de bons résultats

Conservez les rapports ou captures utiles et refaites les tests après une modification importante : changement d’hébergement, migration HTTPS, nouveau CDN, modification des headers ou mise à jour majeure du site.

La sécurité n’est pas un contrôle réalisé une seule fois. Une configuration correcte aujourd’hui peut évoluer après une maintenance ou l’ajout d’une nouvelle extension.

Les notes sont moyennes mais aucune alerte malware n’apparaît

Commencez par les corrections ciblées et compréhensibles : HTTPS, TLS, headers HTTP, redirections et composants obsolètes. Évitez d’ajouter plusieurs plugins de sécurité uniquement pour améliorer une note.

Pour les en-têtes HTTP, consultez notre guide pour comprendre et corriger vos en-têtes de sécurité.

Un outil signale un malware, une redirection ou une alerte Google

Traitez le résultat comme un signal prioritaire. Ne vous contentez pas de relancer le scanner jusqu’à obtenir un résultat différent. Vérifiez Search Console, l’hébergement, les journaux disponibles, les comptes administrateurs et les fichiers modifiés.

Si le site est sous WordPress et que vous souhaitez un premier regard dédié, vous pouvez demander un pré-diagnostic gratuit de sécurité WordPress.

Vous ne comprenez pas pourquoi les scanners se contredisent

C’est fréquent, car ils n’analysent pas la même chose. Dans ce cas, l’objectif n’est plus d’obtenir une meilleure note mais de réunir les constats dans un diagnostic cohérent.

À quelle fréquence tester la sécurité de son site web ?

Il n’existe pas une fréquence universelle adaptée à tous les sites. Un site vitrine rarement modifié et un site e-commerce avec plusieurs mises à jour hebdomadaires n’ont pas le même rythme de changement.

Vous pouvez néanmoins prévoir un test sécurité site web :

• après une migration d’hébergement ;
• après une modification HTTPS ou TLS ;
• après la mise en place d’un CDN ou d’un WAF ;
• après une refonte importante ;
• après une alerte Google ou un comportement inhabituel ;
• après une modification des Security Headers ;
• et périodiquement pour détecter une dérive de configuration.

Le but n’est pas de scanner quotidiennement pour collectionner les notes. Il est de comparer les résultats dans le temps et d’identifier ce qui a changé.

Questions fréquentes sur le test sécurité site web

Un scanner gratuit suffit-il à garantir la sécurité de mon site ?

Non. Un scanner gratuit contrôle un périmètre précis depuis l’extérieur. Il peut détecter des défauts de configuration ou certains signes de compromission, mais il ne dispose pas nécessairement d’un accès au serveur, au CMS, aux comptes et aux journaux internes.

Pourquoi mon site a-t-il une mauvaise note alors qu’il fonctionne bien ?

Le fonctionnement visible et la sécurité sont deux sujets différents. Un site peut charger rapidement et afficher toutes ses pages tout en ayant des headers absents, une configuration TLS vieillissante ou des composants obsolètes.

À quelle fréquence faut-il scanner son site ?

Retestez au minimum après les modifications techniques importantes et lorsqu’un signal inhabituel apparaît. Pour les sites régulièrement modifiés, un contrôle périodique permet aussi de détecter les dérives.

Scanner en ligne et test d’intrusion, est-ce la même chose ?

Non. Un scanner public observe ce qui lui est exposé et applique des contrôles automatisés. Un test d’intrusion autorisé cherche activement à exploiter un périmètre défini, dans un cadre contractuel précis. Les objectifs, les risques et la profondeur d’analyse ne sont pas comparables.

Une note F signifie-t-elle que mon site est piraté ?

Non. Sur un outil de headers, une note F signifie généralement que plusieurs protections attendues sont absentes ou mal configurées. Elle ne prouve pas à elle seule une compromission. Il faut lire le détail du rapport.

Quel outil utiliser en premier ?

Pour un contrôle simple, commencez par SecurityHeaders.com ou HTTP Observatory, puis SSL Labs pour HTTPS/TLS. Complétez avec Sucuri SiteCheck et Search Console ou Safe Browsing pour les signaux de compromission visibles.

Tester gratuitement, puis décider jusqu’où aller

Un test sécurité site web avec des outils gratuits a une vraie utilité : ils permettent de comprendre ce que votre site expose et d’identifier rapidement plusieurs erreurs de configuration. Ils sont également excellents pour vérifier qu’une correction a bien produit l’effet attendu.

Leur limite apparaît lorsqu’il faut réunir les résultats, les hiérarchiser et déterminer ce qui mérite réellement une intervention.

Pour un site WordPress, vous pouvez commencer par un pré-diagnostic gratuit de sécurité WordPress. Pour une vue structurée incluant sécurité, SEO technique et conformité, le diagnostic site web Eur’Net produit un état des lieux non intrusif et documenté.

Enfin, si votre objectif est de passer du contrôle à la protection durable, retrouvez les mesures à prendre pour sécuriser durablement votre site.