Comment nous analysons ton site
L'analyse est passive : nous lisons seulement ce que voit n'importe quel navigateur ou serveur email. Nous n'entrons pas dans le site, nous n'essayons pas d'exploiter des failles et nous ne demandons pas de mot de passe.
Ce que nous vérifions
Chaque vérification repose sur une norme publique ou une base de données ouverte. Le rapport montre ce que nous avons vu, pourquoi c'est important et quoi faire.
Connexion sécurisée
| Vérification | Ce que nous lisons | Référence |
|---|---|---|
| Connexion sécurisée (HTTPS) | La réponse de la page en https:// et le certificat présenté | RFC 2818 |
| Passage de http:// à https:// | Si l'adresse non chiffrée redirige vers l'adresse chiffrée | RFC 9110 |
| HSTS | L'en-tête Strict-Transport-Security et sa durée | RFC 6797 |
| Validité du certificat | La date d'expiration et l'émetteur, confirmés dans le registre public des certificats | RFC 6962 · crt.sh |
Protection dans le navigateur
| Vérification | Ce que nous lisons | Référence |
|---|---|---|
| Politique de contenu (CSP) | L'en-tête Content-Security-Policy | W3C CSP Level 3 |
| Protection contre l'intégration (clickjacking) | X-Frame-Options ou frame-ancestors | RFC 7034 |
| X-Content-Type-Options e Referrer-Policy | Les en-têtes de protection recommandés | OWASP Secure Headers |
| Protection des cookies | Les options Secure, HttpOnly et SameSite des cookies de la page | RFC 6265 |
| Contenu mixte et formulaires | Scripts, styles ou formulaires qui utilisent http:// sur une page https:// | W3C Mixed Content |
Email du domaine
| Vérification | Ce que nous lisons | Référence |
|---|---|---|
| SPF | L'enregistrement TXT public qui indique qui peut envoyer des emails pour le domaine | RFC 7208 |
| DKIM | Les clés publiques de signature dans les sélecteurs les plus courants | RFC 6376 |
| DMARC | La politique _dmarc et ce qu'elle demande à Gmail et Outlook de faire des faux emails | RFC 7489 |
| MTA-STS | La politique qui impose de recevoir les emails par une connexion chiffrée | RFC 8461 |
Software
| Vérification | Ce que nous lisons | Référence |
|---|---|---|
| Versions visibles | Versions du serveur, de PHP ou de WordPress annoncées dans les en-têtes et le HTML | OWASP WSTG-INFO-02 |
| WordPress et plugins | La version publique, comparée à la version actuelle | api.wordpress.org |
| Vulnérabilités connues | Failles publiées pour ces versions de WordPress et des plugins | CVE · WPVulnerability |
| Bibliothèques JavaScript | Versions de jQuery, Bootstrap et d'autres avec des failles connues | CVE |
| Logiciel du serveur | Versions de PHP ou du serveur qui ne reçoivent plus de mises à jour de sécurité | Fin du support officiel |
Menaces
| Vérification | Ce que nous lisons | Référence |
|---|---|---|
| Code malveillant | Signes sur la page d'accueil : mineurs, code obscurci, iframes cachées et liens de spam | Analyse du HTML |
| Listes noires | Si le site est signalé comme dangereux | Google Web Risk |
SEO local
| Vérification | Ce que nous lisons | Référence |
|---|---|---|
| Page lisible par Google | Si le contenu principal est dans le HTML | Google Search Central |
| Lien vers ta fiche Google Maps | Un lien de la page vers la fiche de l'entreprise | Fiche d'établissement Google |
| Données d'entreprise locale | Le bloc LocalBusiness avec nom, adresse, téléphone et horaires | Schema.org |
| Titre, description, coordonnées et horaires | Ce que Google affiche dans les résultats et sur Maps | Google Search Central |
Comment nous calculons la note
Chaque vérification a un poids selon sa gravité : critique, important ou amélioration. La note est le pourcentage de points obtenus. Une vérification que nous n'avons pas pu faire ne compte pas contre toi.
Ce que nous ne faisons pas
- Nous ne faisons pas de tests d'intrusion et n'essayons pas d'exploiter des failles.
- Nous n'entrons pas dans le site et ne demandons ni mot de passe ni accès.
- Nous n'analysons pas le code du serveur, seulement ce qui est public.
- Nous ne garantissons pas de positions sur Google. Personne ne le peut.
- Nous ne remplaçons pas un audit de sécurité complet.
Lois et bonnes pratiques
Les vérifications couvrent les mesures techniques que le RGPD (article 32) et la directive NIS2 demandent aux entreprises. Dans la liste RGPD et NIS2 tu vois ce que ton site respecte déjà.
Transparence
Pour qui trouve une faille dans SinalPT, nous publions une politique de divulgation responsable et un fichier security.txt.
Vois un rapport d'exemple, réalisé sur un site fictif.
Gratuit, sans inscription et sans demander de mot de passe.