Test sécurité site web : 5 outils gratuits à utiliser
Un test sécurité site web permet d’identifier les faiblesses visibles avant de modifier WordPress, l’hébergement ou le serveur. Cinq outils gratuits contrôlent les en-têtes HTTP, HTTPS/TLS, certains signes de malware et les alertes Google. Ils orientent les corrections sans remplacer un audit interne.
Ce qu’il faut retenir
- 5 outils couvrent des contrôles complémentaires – MDN HTTP Observatory, SSL Labs, SecurityHeaders.com, Sucuri SiteCheck et Google analysent des couches différentes.
- Une bonne note ne garantit pas l’absence de faille – un A+ TLS renseigne sur HTTPS, pas sur WordPress, les comptes ou les fichiers internes.
- Un scanner externe reste limité – il analyse surtout ce qui est exposé publiquement et peut manquer une porte dérobée côté serveur.
- Testez, corrigez puis retestez – comparez les résultats après une migration, une mise à jour majeure ou une modification de configuration.
Résumé généré par IA
Pourquoi faire un test sécurité site web avant de corriger
Ajouter immédiatement un plugin de sécurité ou modifier le fichier .htaccess peut masquer le problème initial. Mesurez d’abord ce qui est visible depuis Internet afin de comparer les résultats avant et après correction.
Vérifiez si HTTPS est correctement appliqué, si la configuration TLS reste cohérente, si les principaux en-têtes sont présents et si Google signale un risque.
Cette démarche complète notre guide sur la sécurisation durable d’un site web de PME. Ici, l’objectif est de mesurer la surface exposée.
Scanner sécurité site web : 5 outils gratuits complémentaires
| Outil | Contrôle principal | À retenir |
|---|---|---|
| MDN HTTP Observatory | En-têtes HTTP | Repère les protections navigateur absentes |
| Qualys SSL Labs | HTTPS et TLS | Analyse certificat, protocoles et configuration TLS |
| SecurityHeaders.com | Headers de sécurité | Lecture rapide des en-têtes exposés |
| Sucuri SiteCheck | Malware visible | Recherche des signes publics de compromission |
| Google Search Console / Safe Browsing | Alertes Google | Signale certains problèmes de sécurité |
MDN HTTP Observatory pour les headers HTTP de sécurité
HTTP Observatory analyse les en-têtes et plusieurs réglages exposés au navigateur. Il aide notamment à contrôler HSTS, Content-Security-Policy, Referrer-Policy ou X-Content-Type-Options.
Tester le site avec MDN HTTP Observatory. Si plusieurs en-têtes sont absents, consultez notre guide pour configurer les Security Headers.
Qualys SSL Labs pour un test SSL TLS
SSL Labs analyse un serveur HTTPS public. L’outil examine le certificat, les protocoles pris en charge et différents paramètres TLS. Une bonne note ne valide toutefois ni WordPress ni les accès administrateur.
Analyser HTTPS avec Qualys SSL Labs.
SecurityHeaders.com pour un contrôle rapide
SecurityHeaders.com attribue une note selon les en-têtes HTTP détectés. Il repère les protections manquantes. Une note faible indique surtout que certains headers attendus sont absents ou mal configurés. Elle ne prouve pas que le site est piraté.
Contrôler les en-têtes avec SecurityHeaders.com.
Sucuri SiteCheck pour rechercher un malware visible
Sucuri SiteCheck inspecte le contenu accessible publiquement. Il peut signaler du code malveillant connu, des redirections suspectes, des problèmes de blocklist ou certains logiciels obsolètes. Il ne voit cependant pas tous les fichiers du serveur.
Scanner le site avec Sucuri SiteCheck.
Google Search Console et Safe Browsing pour les alertes
Le rapport « Problèmes de sécurité » de Search Console peut signaler du contenu piraté, du phishing ou des logiciels malveillants détectés par Google. Safe Browsing permet de vérifier si une URL est considérée comme dangereuse. L’absence d’alerte ne certifie pas la sécurité.
Consulter l’aide Google sur les problèmes de sécurité.
Comment vérifier sécurité site web sans mal lire les notes
Les notes A, B, C ou F ne mesurent pas la même chose. SSL Labs évalue surtout TLS. HTTP Observatory et SecurityHeaders.com se concentrent sur les protections HTTP. Sucuri recherche des signes visibles de compromission. Google rapporte des problèmes détectés par ses systèmes.
| Résultat | Interprétation | Action |
|---|---|---|
| Bon partout | La surface testée paraît correctement configurée | Conserver les rapports et retester |
| Headers faibles | Protections navigateur incomplètes | Corriger après vérification |
| TLS faible | Configuration HTTPS à revoir | Voir l’hébergeur ou l’administrateur |
| Alerte malware ou Google | Signal de compromission | Traiter en priorité |
Demandez plutôt : qu’a réellement testé cet outil ? Cette question évite les corrections inutiles.
Sécurité WordPress : ce qu’un scanner externe ne voit pas
Un scanner public travaille sans accès privilégié au serveur. Il ne peut pas vérifier exhaustivement les comptes administrateur, permissions de fichiers, tâches planifiées, journaux internes, sauvegardes, secrets de configuration ou données cachées en base.
Il peut aussi manquer une porte dérobée qui ne renvoie aucun contenu visible au navigateur. Un résultat rassurant reste une photographie, pas une garantie.
Pour WordPress, documentez toute alerte avant de modifier le site. Gardez la date du test, l’URL concernée et le détail du signal pour faciliter le diagnostic.
Que faire après votre test sécurité site web ?
Les résultats sont bons
Conservez les rapports et retestez après une migration, un changement de CDN, une modification TLS, de nouveaux headers ou une mise à jour majeure.
Les notes sont moyennes sans alerte malware
Priorisez les corrections mesurables : HTTPS, TLS, redirections et headers. Ne multipliez pas les plugins uniquement pour gagner une lettre.
Un malware, une redirection ou une alerte Google apparaît
Traitez le signal en priorité. Vérifiez Search Console, les comptes administrateur, les fichiers récemment modifiés et les journaux disponibles. Ne relancez pas le scanner jusqu’à obtenir un autre résultat sans comprendre la cause.
Les outils se contredisent
C’est normal lorsqu’ils n’analysent pas les mêmes couches. Rassemblez les constats, notez la date de chaque test et classez les problèmes par impact. Un diagnostic devient utile si la priorité reste floue.
Besoin d’une lecture priorisée ? Le diagnostic site web Eur’Net rassemble les signaux visibles et produit un état des lieux non intrusif exploitable par votre équipe ou votre prestataire.
Questions fréquentes sur le test sécurité site web
Un scanner gratuit suffit-il pour sécuriser un site ?
Non. Il contrôle un périmètre précis depuis l’extérieur. Il peut révéler des défauts de configuration ou certains signes de compromission, mais pas inspecter exhaustivement le serveur, les comptes, les journaux et la base de données.
Une note F signifie-t-elle que le site est piraté ?
Non. Sur un outil centré sur les headers, une note F indique surtout que plusieurs protections attendues sont absentes ou mal configurées. Il faut lire le rapport et distinguer faiblesse de configuration et compromission.
Quel outil utiliser en premier ?
Commencez par HTTP Observatory ou SecurityHeaders.com pour les headers, puis SSL Labs pour HTTPS/TLS. Complétez avec Sucuri SiteCheck et Search Console pour rechercher des signaux publics de compromission.
Quand faut-il refaire les tests ?
Retestez après une modification technique importante, une migration, un changement de CDN ou de WAF, une alerte Google et périodiquement pour détecter une dérive. L’objectif est de comparer les résultats dans le temps.
Scanner en ligne et test d’intrusion sont-ils équivalents ?
Non. Un scanner public applique des contrôles automatisés à ce qui lui est exposé. Un test d’intrusion autorisé cherche activement des vulnérabilités dans un périmètre défini. La profondeur et les risques sont différents.
Règle numéro 1 : si je ping, j’ai du réseau.
Règle numéro 2 : voir règle numéro 1.
Eur’Net est référencée sur Cybermalveillance.gouv.fr, activatrice France Num et partenaire Gold Kaspersky. À titre personnel et bénévole, je suis également engagé comme aidant MonAideCyber au sein de l’association Assistic.
Mon credo : un sinistre cyber, ce n’est plus « si », mais « quand ». La vraie question est donc la suivante : regardez-vous le tsunami arriver depuis la plage, ou apprenez-vous à surfer en préparant vos plans A, B et C ?
Chez Eur’Net, le numérique reste artisanal. Nous utilisons de l’IA, de l’I-B - prononcez « eBay », de l’I-C - comme au lycée, et surtout beaucoup d’I-D… autrement dit, des idées.
Nos contenus sont imaginés, travaillés, relus et validés par des humains, parfois assistés par quelques outils 2.0 : claviers, écrans, ordinateurs, traitements de texte, intelligences artificielles et autres joyeusetés numériques.
Certaines illustrations présentes sur ce site peuvent également être créées ou retouchées à l’aide d’outils d’intelligence artificielle. Elles sont utilisées à des fins d’illustration de nos contenus.
Nous n’utilisons presque plus de papier, de stylo ni de crayon : ici, l’IA peut tenir le tournevis, mais l’humain garde toujours la main.
Plus d’informations sur notre utilisation de l’intelligence artificielle sont disponibles dans les mentions légales du site.
Entre deux diagnostics, j’élève aussi des IA bio au grand air.
- Cybersécurité en recrutement : 5 actions avant l’incident - 5 octobre 2026
- Audit cybersécurité PME : 5 leçons d’un WordPress piraté - 5 octobre 2026
- Antivirus EDR XDR PME : 7 critères pour choisir en 2026 - 1 octobre 2026
