Qu'est-ce qu'un audit de sécurité d'un site web ?
En bref
Un audit de sécurité d'un site web est un examen méthodique de sa configuration, de son code, de ses accès et de son hébergement. Il sert à repérer les failles avant qu'un attaquant ne les exploite. Il aboutit à un rapport qui classe chaque faiblesse par gravité et propose des corrections concrètes, à appliquer par ordre de priorité.
Un site peut fonctionner parfaitement tout en laissant une porte ouverte : une extension oubliée, un compte administrateur partagé, un formulaire qui accepte n'importe quoi. L'audit de sécurité sert à dresser cet état des lieux de façon méthodique, avant qu'un incident ne s'en charge. Voici ce qu'il examine, comment il se déroule et ce que vous devez en attendre.
À quoi sert un audit de sécurité ?
L'audit répond à trois besoins : savoir où en est réellement le site, décider quelles corrections faire en premier, et pouvoir montrer que la sécurité est prise au sérieux. Le RGPD demande d'ailleurs aux organisations de tester, d'analyser et d'évaluer régulièrement l'efficacité de leurs mesures de sécurité lorsqu'elles traitent des données personnelles.
Certains moments s'y prêtent particulièrement :
- avant la mise en ligne d'un nouveau site ou d'un espace client ;
- après une refonte ou l'ajout d'une fonction sensible, comme le paiement ou le dépôt de documents ;
- après un incident, pour vérifier qu'aucune autre faille ne subsiste ;
- lors de la reprise d'un site par un nouveau prestataire ;
- quand un client ou un partenaire demande des preuves de sécurité.
Que vérifie un audit de sécurité ?
Le périmètre varie selon le site, mais les grands domaines restent les mêmes.
| Domaine | Exemples de points contrôlés |
|---|---|
| Logiciels | Versions du CMS, des bibliothèques et des extensions, correctifs de sécurité manquants. |
| Chiffrement | HTTPS sur toutes les pages, certificat valide, anciens protocoles désactivés. |
| En-têtes de sécurité | Instructions envoyées au navigateur pour limiter certaines attaques, par exemple imposer HTTPS ou restreindre les scripts autorisés. |
| Authentification | Robustesse des mots de passe, double authentification, blocage après plusieurs échecs, durée des sessions. |
| Saisies et formulaires | Résistance aux injections, contrôle des fichiers envoyés, protection contre les envois automatisés. |
| Droits d'accès | Nombre d'administrateurs, comptes d'anciens collaborateurs, séparation des rôles. |
| Hébergement | Services du serveur exposés sans raison, accès d'administration, isolement entre sites. |
| Sauvegardes et journaux | Existence, emplacement, restauration testée, conservation des traces de connexion. |
Deux termes reviennent souvent dans les rapports. Une injection SQL consiste à glisser des commandes dans un champ de saisie pour interroger ou modifier la base de données. Une faille XSS permet d'injecter un script qui s'exécutera dans le navigateur des autres visiteurs.
Comment se déroule un audit ?
- Cadrage : liste des domaines et sous-domaines, back-office, API, période des tests, tests exclus et contacts d'urgence.
- Autorisation écrite : le Code pénal sanctionne l'accès frauduleux à un système informatique. Le propriétaire du site doit donc autoriser l'audit par écrit, et certains hébergeurs demandent à être prévenus.
- Collecte : documentation technique, accès en lecture, échanges avec les personnes qui administrent le site.
- Analyse : outils automatisés pour les failles connues, puis vérifications manuelles pour la logique propre au site.
- Rapport et restitution : présentation des résultats et du plan de correction.
- Contre-vérification : contrôle des corrections une fois appliquées.
Audit ou test d'intrusion : quelle différence ?
Les deux démarches se complètent. L'audit passe en revue de façon large la configuration, le code et l'organisation. Le test d'intrusion se place du point de vue de l'attaquant : il tente d'exploiter les failles pour mesurer ce qu'elles permettent réellement d'obtenir.
| Audit de sécurité | Test d'intrusion | |
|---|---|---|
| Question posée | Qu'est-ce qui est mal configuré ou fragile ? | Jusqu'où un attaquant peut-il aller ? |
| Méthode | Revue de configuration, de code et de pratiques | Attaque simulée et autorisée |
| Résultat | Vue d'ensemble et plan de mise à niveau | Scénarios d'attaque démontrés |
Que doit contenir le rapport ?
- une synthèse lisible par un non-technicien, avec les risques principaux ;
- pour chaque faille : description, niveau de gravité, preuve, conséquence possible et correction proposée ;
- un ordre de priorité réaliste ;
- le périmètre, la méthode et les limites : ce qui n'a pas été testé doit être écrit.
Un audit reste une photographie à une date donnée. Chaque mise à jour, nouvelle fonction ou changement d'hébergement peut modifier le résultat. Les corrections s'inscrivent donc dans une maintenance suivie. Pour faire examiner votre site, consultez l'audit de sécurité proposé par NexSecure.
Questions fréquentes
Combien de temps dure un audit de sécurité de site web ?
Cela dépend du périmètre : un site vitrine simple ne demande pas le même travail qu'une application avec espace client et API. Le cadrage initial sert à estimer la durée avant de commencer.
Un scan automatique suffit-il ?
Non. Un scanner repère des failles connues et des erreurs de configuration, mais il manque les problèmes de logique, comme un utilisateur qui accède aux données d'un autre. Une vérification manuelle reste nécessaire.
L'audit peut-il perturber le site ?
Les vérifications sont conçues pour limiter l'impact, mais certains tests sollicitent le serveur. Le cadrage fixe les créneaux, les tests exclus et la personne à prévenir en cas d'anomalie.
À quelle fréquence faire auditer son site ?
Il n'existe pas de fréquence unique. Un audit se justifie avant une mise en ligne, après une refonte ou un incident, et dès que le site traite des données sensibles.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet