Dans cet article Dans cet article
- Audit sécurité site internet : le périmètre à contrôler
- Les cinq étapes d’un audit de sécurité web
- Outils automatiques, test d’intrusion ou audit de code : quelle approche choisir
- Adapter l’audit sécurité au type de site web
- Prix et fréquence d’un audit de sécurité de site
- Les erreurs qui rendent l’audit sécurité inutile
- Tester la sécurité de son site : autorisation, durée et autonomie
Un audit sécurité site internet consiste à vérifier méthodiquement chaque point par lequel un pirate pourrait entrer : serveur, CMS, extensions, formulaires, comptes administrateurs, certificat et sauvegardes. Il suit cinq temps : inventaire technique, scan automatisé, tests manuels, rapport classé par gravité, puis contre-vérification après correctifs. Un premier contrôle se fait soi-même avec des outils gratuits ; un test d’intrusion approfondi relève d’un prestataire spécialisé, de préférence qualifié PASSI pour les sites sensibles.
Un site piraté se repère rarement le jour de l’attaque. Des pages de spam apparaissent dans Google, un formulaire expédie des courriels étranges, ou la base clients circule déjà sur un forum. L’audit sert justement à débusquer ces faiblesses avant qu’elles ne soient exploitées. Voici comment il se déroule concrètement, ce qu’il coûte et comment éviter qu’il ne finisse en rapport oublié dans un dossier partagé.
Audit sécurité site internet : le périmètre à contrôler
Avant de lancer le moindre outil, il faut savoir ce qu’on examine. Un site web n’est pas un bloc unique : c’est un empilement de couches, et chacune peut céder indépendamment des autres.
- L’hébergement et le serveur : version du système, ports ouverts, accès SSH ou FTP, configuration d’Apache ou de Nginx.
- L’application : CMS, thème, extensions, code développé sur mesure, bibliothèques JavaScript chargées par les pages.
- Les données : base de données, fichiers envoyés par les visiteurs, sauvegardes et endroit où elles sont stockées.
- Les accès : comptes administrateurs, droits des rédacteurs, double authentification, clés d’API laissées dans le code.
- Les échanges : certificat TLS, en-têtes HTTP de sécurité, cookies, redirections.
Ce dernier point passe souvent à la trappe. Une redirection ouverte, c’est-à-dire une page qui renvoie vers n’importe quelle adresse passée en paramètre, permet à un escroc de fabriquer un lien d’apparence légitime portant votre nom de domaine. Les plateformes qui affichent un avertissement du type URL masquée pour votre sécurité appliquent précisément la logique inverse : elles filtrent les liens sortants pour que leur réputation ne serve pas d’appât.
Délimiter ce périmètre par écrit protège tout le monde. L’auditeur sait jusqu’où il a le droit d’aller, et le propriétaire sait exactement ce qui n’a pas été testé.
Les cinq étapes d’un audit de sécurité web
1. Dresser l’inventaire des briques techniques
On relève les versions de PHP, du CMS, de chaque extension et des bibliothèques utilisées. On recense aussi tous les sous-domaines, car les environnements oubliés (préproduction, ancien blog, outil de test) comptent parmi les portes d’entrée les plus classiques. Un sous-domaine de démonstration resté en ligne avec un mot de passe par défaut suffit à compromettre tout un serveur mutualisé.
2. Lancer un scan automatisé des vulnérabilités
Les scanners comparent les versions détectées aux bases de failles publiques (les CVE) et repèrent les erreurs de configuration courantes. OWASP ZAP, Nikto, Nmap pour les ports ou WPScan pour WordPress font partie des références. Cette étape va vite, mais elle génère des faux positifs et ne comprend rien à la logique propre à votre site.
3. Mener des tests manuels sur les zones sensibles
C’est là que se trouve la vraie valeur de l’audit sécurité. L’auditeur s’attaque aux formulaires de connexion, de recherche, de paiement et d’envoi de fichiers en s’appuyant sur le référentiel OWASP Top 10 : injections, contrôle d’accès défaillant, mauvaise configuration, composants obsolètes. Un exemple parlant : modifier le numéro de commande dans l’adresse d’une facture et tomber sur celle d’un autre client. Aucun outil automatique ne détecte ce genre de défaut de manière fiable.
4. Rédiger un rapport classé par gravité
Chaque faille y figure avec sa description, une preuve reproductible, un niveau de risque (critique, élevé, moyen, faible), souvent un score CVSS, et le correctif recommandé. Un bon rapport commence par une synthèse lisible par un dirigeant non technicien, puis détaille la partie technique pour le développeur.
5. Corriger, puis vérifier les correctifs
Beaucoup s’arrêtent au rapport. Or un correctif mal appliqué laisse la faille ouverte tout en donnant un faux sentiment de sécurité. La contre-vérification, quelques semaines après, confirme que chaque point critique est réellement refermé.
Outils automatiques, test d’intrusion ou audit de code : quelle approche choisir
Ces méthodes ne s’opposent pas, elles se complètent. Le tableau ci-dessous résume ce que chacune apporte à la sécurité d’un site.
| Approche | Ce qu’elle détecte | Limites | Pour qui |
|---|---|---|---|
| Scanner en ligne gratuit | Certificat, en-têtes HTTP, présence sur les listes noires de navigation sécurisée, versions visibles | Reste en surface | Tout propriétaire de site, en contrôle mensuel |
| Scanner spécialisé (WPScan, ZAP) | Extensions vulnérables, injections simples, fichiers sensibles exposés | Faux positifs, demande des bases techniques | Webmaster, agence web |
| Test d’intrusion manuel | Failles logiques, enchaînement de vulnérabilités, élévation de privilèges | Coût, durée, photographie à un instant donné | E-commerce, espace client, données sensibles |
| Audit de code source | Erreurs de développement invisibles depuis l’extérieur | Nécessite l’accès complet au code | Applications développées sur mesure |
Pour un blog personnel, un scanner régulier et une hygiène stricte des mises à jour couvrent l’essentiel. Dès qu’un site encaisse des paiements ou stocke des comptes utilisateurs, le test manuel devient difficile à contourner.
Adapter l’audit sécurité au type de site web
Site WordPress ou autre CMS
La grande majorité des failles exploitées sur WordPress proviennent des extensions et des thèmes, rarement du cœur du CMS. L’audit cible donc les modules abandonnés par leur développeur, la page de connexion exposée aux attaques par force brute, le fichier xmlrpc.php resté actif et le listage des répertoires. Ces risques se réduisent fortement avec une routine de mises à jour et de sauvegardes, détaillée dans notre guide Maintenance site internet.
Boutique en ligne
Le paiement est généralement délégué à un prestataire certifié PCI DSS, ce qui ne dispense pas de contrôler le reste. Les pirates injectent parfois un petit script dans la page de commande pour copier les numéros de carte au moment de la saisie. L’audit vérifie donc l’intégrité des scripts chargés, la gestion des sessions clients et la robustesse des comptes administrateurs.
Site vitrine ou blog communautaire
Les petits sites sont rarement visés personnellement : ils sont attaqués en masse par des robots qui testent les mêmes failles sur des milliers d’adresses. Même une page de communauté de joueurs, comme une liste de Codes Type Soul, attire ces robots qui déposent du spam dans les commentaires ou tentent d’exploiter un formulaire de contact mal protégé. Un captcha, la modération des commentaires et des mises à jour régulières suffisent souvent à décourager ces campagnes automatiques.
Site qui traite des données personnelles ou de santé
Le RGPD (article 32) impose des mesures de sécurité adaptées au risque et une procédure pour tester régulièrement leur efficacité. Les données de santé relèvent en plus d’un hébergement certifié HDS. Ces textes ne fixent pas un format d’audit unique : en cas de doute sur vos obligations, le délégué à la protection des données ou un conseil spécialisé reste l’interlocuteur adapté. L’outil public MonServiceSécurisé, proposé par l’ANSSI aux services administratifs, donne par ailleurs une bonne idée de la démarche attendue.
Prix et fréquence d’un audit de sécurité de site
Les tarifs varient selon la taille du site, le nombre de fonctionnalités et la profondeur des tests. Voici des ordres de grandeur couramment constatés en France, à prendre comme repères et non comme barème :
- Scanners en ligne : gratuits ou quelques dizaines d’euros par mois pour une surveillance continue.
- Audit d’un site vitrine ou d’un WordPress standard : environ 1 000 à 3 000 euros.
- Test d’intrusion d’une boutique ou d’un espace client : souvent entre 3 000 et 10 000 euros.
- Application complexe avec audit de code : au-delà de 10 000 euros, parfois bien plus.
Côté rythme, un scan automatisé mensuel et un audit approfondi annuel forment une base raisonnable. Certains événements justifient un contrôle immédiat : refonte, changement d’hébergeur, ajout d’un module de paiement ou incident suspect. Rapporté au coût d’une indisponibilité, l’investissement reste modeste ; l’analyse Impact Économique d’une Panne Serveur: Le Cas Netatmo à la loupe montre à quel point quelques heures d’arrêt pèsent sur la confiance des utilisateurs et sur le chiffre d’affaires.
Les erreurs qui rendent l’audit sécurité inutile
Un audit raté ne vient presque jamais d’un manque d’outils. Il échoue à cause de la façon dont il est préparé ou exploité.
- Auditer la mauvaise version. Tester la préproduction alors que la production a divergé donne des résultats sans valeur.
- Confondre scan et audit. Un rapport automatique de quarante pages n’a pas la portée d’un test d’intrusion mené par une personne.
- Traiter toutes les failles au même niveau. Corriger dix alertes mineures en laissant une injection critique ouverte revient à fermer les fenêtres en laissant la porte grande ouverte.
- Oublier les sauvegardes. Une sauvegarde jamais restaurée en test reste une hypothèse, pas une protection.
- Appliquer des correctifs trouvés au hasard. Désactiver un pare-feu applicatif pour faire fonctionner une extension crée souvent une faille plus grave que le bug initial. Pour éviter ce piège, mieux vaut savoir sélectionner ses sources, comme l’explique notre dossier Tutos informatique.
- Ne jamais relancer de contrôle. Une nouvelle faille sur une extension populaire peut apparaître la semaine suivant l’audit.
Le conseil le plus rentable tient en une règle : désigner une personne responsable du suivi du rapport, avec une échéance pour chaque correctif critique.
Tester la sécurité de son site : autorisation, durée et autonomie
Peut-on réaliser soi-même l’audit de sécurité de son site ?
Oui pour un premier niveau : vérifier les mises à jour, lancer un scanner gratuit, contrôler les comptes administrateurs et tester la restauration d’une sauvegarde. Les tests d’intrusion manuels demandent en revanche des compétences pointues, et une erreur de manipulation peut corrompre des données en production.
Combien de temps dure un audit de sécurité web ?
Un scan automatisé prend quelques minutes à quelques heures. Un audit complet d’un site de taille moyenne mobilise généralement de 3 à 10 jours de travail, rapport compris, selon le nombre de pages dynamiques et de profils utilisateurs à tester.
Faut-il une autorisation pour tester la sécurité d’un site ?
Absolument. Tester un site qui ne vous appartient pas sans accord écrit peut constituer une intrusion dans un système informatique, sanctionnée par le Code pénal. Le propriétaire du site doit signer une autorisation précisant le périmètre, les dates et les techniques permises, et l’hébergeur doit parfois être prévenu.
Un certificat HTTPS suffit-il à protéger un site internet ?
Non. Le HTTPS chiffre les échanges entre le visiteur et le serveur, mais il n’empêche ni une injection SQL, ni le piratage d’un compte administrateur, ni l’exploitation d’une extension vulnérable. Le cadenas du navigateur n’est qu’une brique parmi d’autres.
Comment choisir un prestataire d’audit de sécurité fiable ?
La qualification PASSI délivrée par l’ANSSI constitue un gage sérieux, surtout pour les sites sensibles. À défaut, demandez un exemple de rapport anonymisé, la méthodologie suivie, les assurances professionnelles et la présence d’une contre-vérification incluse dans le devis.