📌 Ce qu’il faut retenir

1. Un scanner public observe une surface exposée – il contrôle TLS, les en-têtes HTTP, le DNS et certains indices techniques. Il n’accède pas aux fichiers privés, aux comptes internes ni aux journaux serveur.
2. Plusieurs risques restent invisibles de l’extérieur – un compte compromis, une version masquée ou une sauvegarde contaminée ne se vérifient pas fiablement par scan passif. L’absence d’alerte ne vaut donc pas preuve d’absence de risque.
3. Le niveau d’analyse dépend de la question posée – scan, diagnostic non intrusif et test d’intrusion n’offrent pas la même profondeur. Il faut choisir selon le risque et la décision attendue.
4. L’action utile consiste à croiser les signaux – un diagnostic professionnel combine sources ouvertes, analyse manuelle et priorisation. Il transforme des résultats dispersés en décisions exploitables.

Résumé généré par IA

Ce que mesure réellement un scanner sécurité site web

Les scanners publics évoqués ici travaillent depuis l’extérieur, sans privilège. Ils contrôlent notamment TLS, les redirections HTTPS, les en-têtes HTTP, certains enregistrements DNS ou des fichiers exposés. Ils peuvent aussi rapprocher une technologie visible de vulnérabilités publiques.

Cette approche répond à une question : que révèle le site sans accès interne ? Elle repère une configuration faible, un service exposé ou un signal incohérent.

Elle ne répond pas à toutes les questions de sécurité. Pour le détail des outils gratuits et de leurs usages, consultez Test sécurité site web : 5 outils gratuits pour votre site. Ce dossier se concentre sur ce qui manque après ce premier contrôle.

Diagnostic sécurité web : quatre angles morts structurels

Notre brève Scanner son site web gratuitement : 3 défauts à corriger détaille les erreurs les plus visibles en surface, comme les en-têtes HTTP manquants. Ce dossier va plus loin et détaille ce qu’aucun scan, aussi bon soit-il, ne peut voir.

Le code serveur et les fichiers réellement modifiés

Un navigateur reçoit du HTML, du CSS et du JavaScript. Il ne reçoit pas le code PHP exécuté sur le serveur, les fichiers de configuration privés ou l’historique des modifications. Un scan externe peut voir un symptôme, mais pas toujours sa cause.

Confirmer une porte dérobée ou un fichier altéré exige souvent de comparer les fichiers ou d’analyser l’hébergement. Cela sort d’un diagnostic passif.

Les comptes et permissions internes

Un formulaire de connexion ne dit pas si un ancien prestataire conserve un compte administrateur. Il ne révèle ni rôles excessifs, ni clés API oubliées.

Cybermalveillance.gouv.fr recommande notamment de limiter les comptes d’administration et d’appliquer le principe de moindre privilège. Ces vérifications nécessitent un inventaire interne, pas seulement une observation publique.

Les CVE non exposées clairement

Une vulnérabilité connue n’est détectable que si le scanner identifie le composant concerné. Une version peut être masquée par la configuration, un proxy ou un pare-feu applicatif (WAF). L’absence de détection ne prouve pas l’absence de faille.

Sur WordPress, ce point justifie de croiser les signaux techniques avec l’historique des extensions. Notre dossier sur les failles WordPress les plus exploitées en 2026 détaille cette logique.

Les sauvegardes déjà contaminées

Une sauvegarde peut exister et rester inutilisable. Elle peut être ancienne, incomplète ou contenir une compromission antérieure. Un scanner externe ne vérifie pas son contenu.

La vérification exige des tests de restauration, une politique de conservation et des copies isolées. Cybermalveillance.gouv.fr rappelle qu’une sauvegarde connectée peut elle-même être touchée lors d’une attaque.

Scan automatique, diagnostic non intrusif et test d’intrusion

Ces niveaux répondent à des besoins différents. Le scan alerte. Le diagnostic construit une lecture argumentée. Le test d’intrusion démontre des scénarios exploitables dans un périmètre autorisé.

L’OWASP rappelle qu’un test en boîte noire ne couvre pas facilement tout le code. L’accès au code et aux composants internes change donc la profondeur possible de l’évaluation.

Audit sécurité site web : la méthode d’un diagnostic non intrusif

Un diagnostic professionnel ne consiste pas à empiler des captures de scanners. Sa valeur vient du croisement des résultats. Il combine notamment HTTP, TLS, DNS, exposition technique, indexation, réputation et sources OSINT.

Chaque signal doit être contextualisé. Une absence de HSTS ne pèse pas comme un accès sensible exposé. Une technologie visible n’est pas automatiquement vulnérable.

Le DIAGNOSTIC Eur’Net suit cette logique : observer sans accès administrateur, documenter les constats, puis les prioriser. La méthodologie CTW précise qu’aucun test d’intrusion ni contournement d’authentification n’est effectué.

Après le diagnostic viennent les corrections : mises à jour, authentification forte, sauvegardes testées et réduction des privilèges. Le guide les mesures de sécurisation à mettre en place détaille ces priorités.

Sources et références sur le diagnostic sécurité web

• ANSSI – Guide d’hygiène informatique : socle de mesures de sécurité, gestion des accès et maintien en condition de sécurité.
• Cybermalveillance.gouv.fr – Comment sécuriser son site Internet ? : moindre privilège, sauvegardes, mises à jour et surveillance.
• OWASP Web Security Testing Guide : méthodes de test web, information gathering et limites d’une approche en boîte noire.

Questions fréquentes

Un audit manuel remplace-t-il un test d’intrusion ?

Non. Un diagnostic manuel non intrusif améliore l’interprétation des signaux externes, mais il ne cherche pas à exploiter une faiblesse. Un test d’intrusion suit un périmètre contractuel précis et vise à démontrer des scénarios d’attaque. Les deux approches sont complémentaires.

Combien de temps dure un diagnostic non intrusif ?

La durée dépend du périmètre et de la restitution. Un diagnostic professionnel ajoute une analyse humaine aux contrôles automatiques. Il faut aussi consolider les écarts et hiérarchiser les risques. Le délai dépend donc du format choisi, du nombre de domaines et du niveau de détail attendu.

À partir de quelle taille d’entreprise devient-il pertinent ?

La taille n’est pas le meilleur critère. Le diagnostic devient pertinent dès qu’un site soutient l’activité, collecte des données ou dépend de plusieurs administrateurs. Une petite structure très dépendante du web peut être prioritaire. L’exposition et l’impact métier comptent davantage que l’effectif.

Un scanner gratuit est-il inutile ?

Non. Il est excellent pour un premier contrôle et pour suivre des indicateurs simples. Son résultat doit seulement être lu pour ce qu’il est : une observation partielle. Une bonne note ne démontre pas que le site, ses comptes, son code serveur et ses sauvegardes sont sains.

Du score automatique à une décision de sécurité

Le bon réflexe n’est pas de chercher le scanner qui promet tout voir. Choisissez le niveau d’analyse adapté au risque. Commencez par l’exposition publique, puis approfondissez si les signaux ou l’historique le justifient.