Audit défensif, non intrusif, et un plan de remédiation
Cet audit répond à une question simple : qu'est-ce qu'un attaquant apprend de votre entreprise en lisant uniquement ce que vous publiez ? Il est entièrement passif. Nous n'attaquons rien, nous n'essayons pas de nous authentifier, nous n'envoyons aucune donnée — nous lisons ce qui est déjà public, et nous en tirons des constats prouvés.
Ce qu’un attaquant voit de votre entreprise depuis l’extérieur. Un audit de sécurité défensif de votre présence en ligne : transport TLS, en-têtes HTTP, divulgation d'information, DNS et sécurité e-mail. Analyse passive, constats numérotés et prouvés, plan de remédiation priorisé.
Ce que vous recevez
Un rapport PDF en neuf sections, dans lequel chaque constat porte un numéro — C-01, C-02, et ainsi de suite — repris dans le plan de remédiation. Votre prestataire technique peut donc partir d'une ligne du tableau et remonter au constat détaillé, avec sa preuve. C'est ce qui fait la différence entre un rapport qu'on lit et un rapport qu'on exécute.
Résumé exécutif et posture globale notée
Méthodologie et périmètre
Transport et TLS
En-têtes de sécurité HTTP
Divulgation d’information et surface d’attaque
Sécurité e-mail et DNS
Bonnes pratiques complémentaires
Plan de remédiation priorisé P1 / P2 / P3
Synthèse
Le transport et les en-têtes
Nous relevons la version du protocole TLS réellement négociée, la suite de chiffrement, la chaîne de certification, les noms couverts et les dates de validité, puis la chaîne de redirection depuis http et depuis www. Côté en-têtes, nous vérifions les huit en-têtes de durcissement un par un, et nous disons lesquels manquent, lesquels sont présents mais permissifs, et lesquels sont contre-productifs là où ils sont.
Strict-Transport-Security (HSTS) et éligibilité au preload
Content-Security-Policy
X-Frame-Options
X-Content-Type-Options
Referrer-Policy
Permissions-Policy
Cross-Origin-Opener-Policy
X-XSS-Protection
Ce que le site raconte sans le savoir
Une installation laisse des traces : la version du CMS dans une balise generator ou dans le paramètre de version des ressources, un fichier d'installation resté en ligne, une bannière serveur bavarde, un répertoire dont le contenu se liste librement, un fichier de sauvegarde oublié à côté de la page d'accueil. Sur les sites WordPress, nous vérifions aussi l'énumération des comptes par l'API publique, l'exposition de xmlrpc et les archives d'auteur : connaître la liste de vos identifiants transforme une attaque par mot de passe en simple affaire de patience.
Le DNS et l’e-mail — là où se trouve le vrai risque
C'est le domaine le plus souvent noté en rouge, et le moins souvent regardé. Nous lisons vos enregistrements publics — A, MX, NS, TXT, CAA, DS, _dmarc, sélecteurs DKIM — et nous décodons la taille réelle de votre clé de signature. Puis nous traduisons. « DMARC en p=none » ne parle à personne. « Un tiers peut aujourd'hui écrire à vos clients depuis votre adresse pour leur demander de changer un RIB, et leur messagerie ne le rejettera pas » se comprend immédiatement, et c'est la même phrase.
Divulgation n’est pas vulnérabilité
Cette distinction est tenue dans tout le rapport. « La version du CMS est exposée » est un constat vérifiable, et nous l'écrivons. « Votre site est vulnérable à telle faille connue » est une affirmation qu'un audit externe non intrusif ne peut pas établir, et nous ne l'écrivons donc pas. Un point que nous n'avons pas pu tester depuis l'extérieur est marqué « à confirmer ». C'est ce qui permet au rapport de rester défendable, et c'est aussi ce qui le rend utile : vous ne payez pas pour de l'alarmisme.
Le périmètre, écrit noir sur blanc
L'audit porte exclusivement sur l'observation passive d'actifs publics : lecture de pages, en-têtes HTTP, DNS, TLS, robots.txt, chemins publics documentés. Aucun scan actif, aucun test d'intrusion, aucune tentative d'authentification, aucune requête d'écriture. Ces limites sont rappelées dans le rapport et dans sa dernière page. Un test d'intrusion, c'est une autre prestation, avec un mandat écrit du propriétaire des systèmes — et ce mandat n'est pas une formalité, c'est ce qui sépare un audit d'un délit.
La remédiation, avec la valeur à écrire
Chaque ligne du plan donne le correctif réel : l'extrait de configuration serveur à ajouter, l'enregistrement DNS avec sa valeur attendue, l'en-tête et son contenu. Avec un impact et un effort chiffrés pour chacun, parce que « il faudrait sécuriser le site » n'a jamais corrigé quoi que ce soit. Et là aussi, les points forts sont listés : sur notre propre audit de juin 2026, la posture globale ressortait à 82/100, avec un transport et des en-têtes notés A — et la sécurité e-mail notée D.
Non. L'audit est strictement passif : nous lisons des pages publiques, des en-têtes de réponse, des enregistrements DNS et la configuration TLS. Aucun scan actif, aucune tentative d'exploitation, aucune tentative de connexion, aucun test de charge, aucune requête d'écriture. Votre site ne subit rien de plus qu'une visite.
Est-ce la même chose qu’un test d’intrusion ?+
Non, et c'est une distinction importante. Un test d'intrusion cherche activement à exploiter des failles, et il exige un mandat écrit du propriétaire des systèmes. Cet audit cartographie ce qui est exposé et ce qui est mal configuré, vu de l'extérieur. Les deux sont complémentaires : l'audit est le préalable raisonnable, parce qu'il corrige à bas coût ce qui est visible de tous.
Avez-vous besoin de mes identifiants ou d’un accès serveur ?+
Non, aucun. Nous n'avons besoin que de votre nom de domaine et de votre accord écrit pour auditer un actif qui vous appartient. Cet accord conditionne la prestation : nous n'auditons pas le domaine d'un tiers à la demande d'un tiers.
Mon site est un simple site vitrine, est-ce vraiment utile ?+
Le constat le plus fréquent, et le plus coûteux, ne porte pas sur le site mais sur le domaine : des enregistrements d'authentification e-mail absents ou trop permissifs, qui laissent n'importe qui écrire à vos clients depuis votre adresse. Un site vitrine n'y échappe pas, et une usurpation d'identité par e-mail ne demande aucune faille technique dans le site lui-même.
Intervenez-vous partout en France ?+
Oui. L'audit repose sur l'observation d'actifs publics, il est donc entièrement réalisable à distance. Nous sommes installés à Reims et nous auditons des domaines partout en France. La restitution se fait en visioconférence, le rapport est remis en PDF.
Le rapport est-il compréhensible sans être technique ?+
Oui, parce que chaque constat est doublé de sa conséquence métier. Le résumé exécutif et le plan de remédiation sont écrits pour un dirigeant ; les sections détaillées, avec les relevés bruts et les valeurs à écrire, sont écrites pour la personne qui corrigera. C'est le même document, lisible aux deux niveaux.
Faire auditer votre site
Donnez-nous votre nom de domaine : nous vous disons ce que l'audit couvrira, sous quel délai, et à quel prix. Aucun accès à votre site n'est nécessaire pour commencer.
