Audit d'un site : quels points sont contrôlés ?
En bref
Un audit technique examine six familles de points : la surface exposée sur Internet, la configuration du serveur et du chiffrement, le code et ses dépendances, la gestion des comptes et des sessions, la protection des données et des sauvegardes, enfin les journaux et la surveillance. Chaque constat est décrit, classé par gravité, puis associé à une correction concrète.
Un audit technique ne se résume pas à lancer un outil d'analyse automatique. Il consiste à passer en revue, point par point, ce qui est accessible depuis Internet, ce que fait le code, qui détient les accès et ce qui se passe le jour où quelque chose tourne mal. Voici les familles de points contrôlés et ce que chacune permet de découvrir.
La surface exposée
La surface exposée désigne tout ce qu'un visiteur, ou un attaquant, peut atteindre depuis Internet. On la cartographie en premier, car on ne protège pas ce qu'on a oublié.
- les domaines et sous-domaines encore actifs, y compris ceux d'anciennes versions ou d'opérations ponctuelles ;
- les ports ouverts, c'est-à-dire les portes numérotées par lesquelles un service accepte des connexions ;
- les interfaces d'administration, les outils de suivi et les pages de test restées en ligne ;
- les fichiers qui ne devraient pas être publics : archives, copies de sauvegarde déposées à la racine, fichiers de configuration ;
- les services annexes comme une API, un espace de dépôt de documents ou une prévisualisation de maquettes.
La configuration du serveur et du chiffrement
Beaucoup de faiblesses viennent non pas du code, mais de réglages laissés par défaut.
| Point contrôlé | Ce que l'on cherche |
|---|---|
| Chiffrement du trafic | HTTPS sur toutes les pages, certificat valide, redirection automatique depuis les adresses non chiffrées. |
| Protocoles acceptés | Versions anciennes de TLS encore activées, alors qu'elles ne sont plus considérées comme sûres. |
| En-têtes de sécurité | Instructions envoyées au navigateur pour restreindre ce qu'une page a le droit de faire. |
| Messages d'erreur | Pages d'erreur qui affichent des chemins de fichiers, des versions de logiciels ou des extraits de requêtes. |
| Droits sur les fichiers | Répertoires modifiables par le serveur web sans nécessité, listing des dossiers activé. |
| Isolement | Plusieurs sites partageant le même compte système, ce qui laisse un site compromis atteindre les autres. |
Le code et les dépendances
Une dépendance est un composant écrit par quelqu'un d'autre et réutilisé dans votre site : extension, thème, bibliothèque. Un site moderne en compte souvent des dizaines, et chacune suit son propre calendrier de correctifs.
- versions du gestionnaire de contenu, des extensions et des bibliothèques, comparées aux correctifs publiés ;
- composants qui ne sont plus maintenus par leur auteur, donc qui ne recevront plus de correction ;
- contrôle des données reçues des visiteurs, dans les formulaires comme dans les adresses de pages ;
- traitement des fichiers envoyés : type réellement vérifié, emplacement de stockage, exécution impossible ;
- mots de passe et clés d'accès écrits en clair dans le code ou dans un fichier accessible.
Les comptes, les droits et les sessions
C'est souvent là que se trouvent les écarts les plus faciles à corriger : comptes d'anciens prestataires toujours actifs, droits d'administration attribués à tout le monde par confort, absence de blocage après une série d'échecs de connexion, sessions qui ne se terminent jamais. La revue vérifie aussi que chaque personne dispose du niveau d'accès correspondant à son rôle, un sujet détaillé dans notre article sur la gestion des droits d'accès.
Les données, les sauvegardes et les journaux
- Données sensibles : ce qui est stocké, où, sous quelle forme, et si les mots de passe des utilisateurs sont bien transformés de façon irréversible.
- Sauvegardes : existence, emplacement séparé du serveur, restauration réellement testée.
- Journaux : ces fichiers qui enregistrent les connexions et les requêtes reçues. Sans eux, une intrusion reste invisible et inexplicable.
- Surveillance : quelqu'un regarde-t-il les alertes, et sous quel délai ?
Ce que l'audit ne couvre pas
Un audit est une photographie à une date donnée. Une extension ajoutée le mois suivant, un changement d'hébergement ou une nouvelle fonction modifient le résultat. Il ne remplace pas non plus la vérification de ce qu'un attaquant obtiendrait réellement, qui relève du test d'intrusion. Pour faire examiner votre site point par point, voyez l'audit de sécurité proposé par NexSecure.
Questions fréquentes
Un outil automatique remplace-t-il un audit ?
Non. Un scanner repère des versions obsolètes et des erreurs de configuration connues. Il ne détecte pas les problèmes de logique, par exemple un utilisateur qui accède aux documents d'un autre en modifiant un numéro dans l'adresse. Une vérification manuelle reste nécessaire.
Faut-il fournir le code source ?
Ce n'est pas obligatoire, mais cela change la profondeur de l'examen. Avec le code, l'auditeur voit comment les données sont traitées et repère des failles invisibles depuis l'extérieur. Sans lui, l'analyse se limite au comportement observable.
Quels points corriger en premier ?
Ceux qui combinent une gravité élevée et une exploitation facile depuis Internet : accès d'administration ouvert, composant obsolète connu pour une faille, absence de sauvegarde restaurable. Le rapport doit proposer cet ordre.
L'audit vérifie-t-il aussi l'hébergement ?
Oui, s'il est inclus au périmètre : isolement entre sites, services ouverts sans raison, application des correctifs système, accès d'administration au serveur. Ces points relèvent souvent du contrat avec l'hébergeur.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet