Quelles sont les failles web les plus fréquentes ?
En bref
Les failles web les plus fréquentes tiennent à quelques familles : contrôle d'accès insuffisant, données mal protégées, injection de commandes via les champs de saisie, conception qui n'anticipe pas les abus, configuration laissée par défaut, composants obsolètes, authentification faible et absence de journalisation. Toutes se corrigent par des mesures connues, appliquées dès la conception.
Les failles qui touchent les sites ne sont pas toutes originales. Année après année, on retrouve les mêmes grandes familles, recensées notamment par l'OWASP, une fondation qui publie des référentiels libres sur la sécurité applicative. Les connaître permet de poser les bonnes questions à ceux qui construisent et maintiennent votre site.
Le contrôle d'accès défaillant
C'est la faille la plus répandue. Le site affiche les bons boutons selon le profil, mais ne revérifie pas les droits lorsque la demande arrive au serveur. Un utilisateur connecté peut alors atteindre une page ou un document qui ne le concerne pas, simplement en modifiant un identifiant dans l'adresse.
La parade tient en une phrase : chaque requête doit être autorisée côté serveur, et non côté navigateur. Masquer un lien ne protège rien.
Les données mal protégées
- trafic non chiffré sur une partie du site, ce qui expose les identifiants saisis ;
- mots de passe stockés de façon réversible, alors qu'ils doivent être transformés par une fonction de hachage prévue pour cet usage ;
- documents confidentiels déposés dans un répertoire public, accessible à qui connaît l'adresse ;
- données conservées bien au-delà de ce qui est utile, question traitée dans notre article sur la durée de conservation des données.
Les injections
Une injection survient quand une donnée envoyée par un visiteur est traitée comme une instruction. Deux cas dominent : l'injection en base de données, qui détourne une requête pour lire ou modifier des informations, et l'injection de script dans une page, qui fait exécuter du code dans le navigateur d'autres visiteurs.
La parade est technique et bien établie : séparer le code des données par des requêtes préparées, et échapper systématiquement ce qui est réaffiché. Nos conseils pour sécuriser les formulaires détaillent ce point.
La conception qui n'anticipe pas les abus
Certaines failles ne viennent d'aucune erreur de programmation, mais d'un scénario oublié. Une procédure de récupération de mot de passe trop permissive, un panier qui accepte une quantité négative, un formulaire d'inscription sans limite qui permet d'envoyer des messages en masse depuis votre nom de domaine. Ces cas se traitent au moment de la conception, en se demandant systématiquement comment une fonction pourrait être détournée.
La configuration laissée par défaut
| Situation | Conséquence possible |
|---|---|
| Compte d'administration d'origine conservé | Identifiant connu de tous, moitié du travail déjà faite pour un attaquant. |
| Mode de débogage actif en ligne | Affichage de chemins, de versions et parfois d'extraits de configuration. |
| Répertoires listables | Inventaire des fichiers présents, dont d'anciennes archives. |
| Service ouvert sans raison | Porte supplémentaire à surveiller et à maintenir. |
Les composants obsolètes
Quand une faille est corrigée dans une extension très répandue, la correction est publique. Les sites qui n'ont pas appliqué la mise à jour deviennent des cibles faciles, repérables automatiquement. C'est pourquoi le suivi des versions relève de la maintenance courante et non d'un projet ponctuel.
Authentification faible et absence de traces
Mots de passe réutilisés, aucune limite au nombre d'essais, absence de double authentification : l'accès se prend alors sans exploiter la moindre faille technique. Et quand rien n'est journalisé, l'intrusion peut durer des mois sans être remarquée, puis rester impossible à reconstituer.
Aucune de ces familles ne demande une technologie exotique pour être traitée : elles demandent de la méthode et un suivi régulier. Un audit de sécurité réalisé par NexSecure permet de savoir lesquelles concernent votre site.
Questions fréquentes
Un site vitrine est-il concerné ?
Oui. Même sans espace client, il comporte une interface d'administration, des extensions et un formulaire de contact. Un site vitrine compromis sert souvent à héberger des pages frauduleuses ou à envoyer des messages indésirables.
Ces failles sont-elles rares ?
Elles sont au contraire bien connues et recensées publiquement, notamment par l'OWASP. C'est justement leur caractère répandu qui les rend recherchées automatiquement, sans ciblage particulier.
Un site sur mesure est-il plus sûr ?
Pas par nature. Il attire moins d'attaques automatisées visant un logiciel répandu, mais son code reçoit moins de relectures extérieures. La sécurité dépend des pratiques de développement, pas du choix entre sur mesure et logiciel du marché.
Par où commencer quand tout est à faire ?
Par les accès : mots de passe uniques, double authentification, retrait des comptes inutiles. Puis les mises à jour, puis les sauvegardes restaurables. Ces trois chantiers écartent une grande partie des cas courants.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet