VaultAuditAI · Guide pratique

Audit de sécurité site web : que vérifier avant d’aller plus loin ?

Un site accessible et rapide peut encore exposer des informations ou manquer de protections. Un audit passif apporte un premier état des lieux de sa configuration publique, sans installation ni accès à votre espace d’administration.

Lancer l’audit gratuit

Quels contrôles couvre un audit passif ?

VaultAuditAI lit les réponses publiques du site et les ressources techniques usuelles. Le rapport distingue les protections de sécurité des indicateurs de référencement, de performance et de confiance : une bonne note SEO n’est pas une preuve de sécurité.

Connexion et protections du navigateur

Connexion HTTPS, redirection depuis HTTP et en-têtes de sécurité : ces réglages contribuent à protéger les échanges et à encadrer le comportement du navigateur.

Informations accessibles publiquement

Signatures techniques divulguées, formulaires visibles, coordonnées, pages légales et canal de signalement : l’analyse décrit ce qu’un visiteur peut observer sans se connecter.

Référencement et lisibilité du contenu

Titres, descriptions, robots.txt, sitemap et données structurées sont examinés dans le HTML initial. Les performances sont mesurées séparément avec Google PageSpeed Insights.

Les signatures de traceurs tiers et les indices de gestion du consentement sont également recherchés. Cette observation du code public ne prouve pas le blocage effectif avant consentement et ne constitue pas une certification RGPD.

Audit passif ou test d’intrusion : quelle différence ?

Audit passif: Lecture des pages et réponses HTTP publiques, sans exploitation de faille ni tentative d’accès non autorisé. Il aide à repérer des réglages perfectibles et à préparer une vérification plus approfondie.
Test d’intrusion: Évaluation active menée avec une autorisation et un périmètre convenus. Elle peut tester l’authentification, les droits d’accès ou les failles applicatives. VaultAuditAI ne réalise pas ces tests dans son scan gratuit.

Un site e-commerce, un espace client ou une application traitant des données sensibles mérite aussi une revue de ses accès, de ses mises à jour et de ses sauvegardes, qui ne sont pas vérifiables par cette seule analyse publique.

Liste de vérification : ce que vous pouvez contrôler vous-même

Avant même de lancer un outil, plusieurs points se vérifient gratuitement depuis un simple navigateur. Cette liste reprend les contrôles publics décrits par VaultAuditAI, dans l’ordre où les effectuer.

Testez l’adresse en HTTP. Saisissez l’adresse de votre site sans « s » : elle doit être redirigée automatiquement vers la version sécurisée HTTPS, sans page intermédiaire ni erreur de certificat.
Inspectez les en-têtes de réponse. Dans les outils de développement du navigateur (onglet Réseau), recherchez les en-têtes de sécurité comme Strict-Transport-Security, Content-Security-Policy ou X-Content-Type-Options. Leur absence n’est pas une faille en soi, mais un réglage de protection manquant.
Ouvrez robots.txt et le sitemap. Les adresses /robots.txt et /sitemap.xml doivent répondre et déclarer les bonnes pages. Vérifiez qu’aucune section publique utile n’est bloquée par une règle d’interdiction.
Relisez les titres et descriptions. Chaque page importante doit avoir un titre unique et une description explicite, visibles dans le code source initial de la page, pas seulement après chargement de JavaScript.
Repérez les traceurs tiers. Avant tout choix de consentement, observez dans l’onglet Réseau si des scripts tiers (mesure d’audience, publicité) se chargent déjà. Leur présence avant consentement est un point de vigilance RGPD à faire valider.
Mesurez la vitesse réelle. Lancez Google PageSpeed Insights sur l’adresse publique : les indicateurs LCP, CLS et TBT conditionnent à la fois l’expérience des visiteurs et le référencement.

Ce qu’un audit passif ne peut pas établir

Aucune analyse publique ne peut vérifier la robustesse des mots de passe, les droits d’accès internes, les mises à jour du serveur, les sauvegardes ou la présence de failles applicatives. Ces points relèvent d’un test d’intrusion autorisé ou d’une revue d’infrastructure. De même, l’observation des traceurs dans le code ne prouve pas leur blocage effectif avant consentement : seul un contrôle de la bannière de consentement en conditions réelles peut le confirmer.

L’audit gratuit VaultAuditAI automatise les vérifications publiques de cette liste et les restitue dans un rapport lisible, avec le périmètre observé et les limites de chaque constat.

Vérifier mon site gratuitement

Comment lire le score et choisir les prochaines actions ?

Vérifiez le périmètre. Le rapport précise l’adresse analysée et les ressources consultées ; il ne couvre pas toutes les pages ni les espaces privés.
Consultez les preuves. Les constats distinguent les éléments confirmés, partiellement vérifiés et non vérifiables. Une protection anti-robot ou un contenu uniquement chargé par JavaScript peut limiter l’analyse.
Priorisez les réglages de sécurité. Faites valider les changements par votre prestataire, puis contrôlez les formulaires et parcours importants avant une mise en ligne.
Relancez après correction. Comparez des audits portant sur la même adresse et le même périmètre. Un score partiel reste un indicateur, pas une conclusion définitive.

La note globale est calculée sur les piliers vérifiables selon leurs pondérations. Les piliers non vérifiables sont exclus du calcul : un score élevé ne garantit ni l’absence de vulnérabilités ni la conformité complète du site.

Que reçoit-on avec l’audit gratuit ?

Le score global et les cinq catégories de résultats.
Le périmètre observé et les limites de vérification.
Les indicateurs de performance disponibles pour mobile et ordinateur.

Le rapport PDF, le détail des anomalies et le plan de remédiation font partie des prestations commandées ; ils ne sont pas téléchargeables dans l’aperçu public gratuit.

Auditer mon site Comprendre l’audit cybersécurité