Audit sécurité automatique

Ce que le rapport contrôle

Transport HTTPS, présence éventuelle de HSTS, en-têtes HTTP utiles (ou absents). Contenu mixte (page https qui charge encore des ressources http). Empreinte serveur visible. Sur WordPress : détection du CMS, indices de thème, plugins exposés dans le HTML, chemins classiques (wp-login, XML-RPC, readme.html).

Quand une version de plugin apparaît clairement, on la croise avec des risques connus (CVE / alertes publiques). Le PDF dit « attention, cette combinaison revient souvent » — pas « votre serveur est déjà compromis ».

Ce que ce n'est pas

Ce n'est pas un test d'intrusion. On n'exploite aucune faille. On ne force aucun login. On ne scanne pas votre réseau interne. Un pentester humain ira beaucoup plus loin — et facturera en conséquence.

Ce n'est pas non plus un antivirus hébergeur. Si un malware est déjà injecté dans la base, l'analyse externe peut le manquer. Pareil pour un backdoor discret.

Les sites hors WordPress reçoivent surtout la partie HTTPS / en-têtes / exposition basique. Sans CMS détecté, la section plugins reste vide. Logique.

Délai, format, suite

Même mécanique que l'audit SEO : URL + email, PDF quelques minutes plus tard. Vous gardez le fichier. Vous le partagez avec votre prestataire ou votre hébergeur.

Après lecture, les corrections typiques : forcer HTTPS, désactiver XML-RPC si inutile, masquer les versions, mettre à jour les plugins listés, restreindre wp-login. Certaines actions demandent un accès admin WordPress — on ne l'a pas depuis l'outil gratuit.

Si vous voulez quitter un WordPress fragile pour une vitrine maintenue, voir les tarifs Croissance (490 € HT de mise en place offerts en refonte, puis 79 € HT/mois). L'audit reste gratuit même sans suite.

Pourquoi c'est gratuit

Beaucoup de sites piratés auraient pu éviter le pire avec deux mises à jour et un HTTPS correct. Un PDF clair, sans devis préalable, réduit la barrière. Vous voyez l'état avant de payer quelqu'un.

Pour Start-Win, c'est aussi un moyen de parler franchement des limites de WordPress mal entretenu — sans faire peur pour vendre. Si le rapport est propre, vous n'avez pas besoin de nous sur la sécurité. Si le rapport alerte sur dix plugins obsolètes, vous savez pourquoi un forfait maintenance a du sens.

Gratuit ne veut pas dire anonyme côté abus : on limite l'usage raisonnable pour éviter les scans massifs. L'outil sert votre site, pas une campagne de cartographie du web.

Les recommandations publiques de l'écosystème cyber français (cyber.gouv.fr) restent la référence de fond. Notre PDF est un instantané technique, pas un label officiel. Lisez-le comme une checklist, pas comme une assurance.

Quand passer à une intervention humaine

Le PDF signale un plugin critique non maintenu et vous n'avez plus l'accès admin. Ou le site affiche déjà des pages spam injectées. Ou l'hébergeur a suspendu le compte. Dans ces cas, l'outil gratuit a fait son job : nommer le problème. La suite demande des accès, des sauvegardes et du temps.

À l'inverse, si le rapport ne trouve que des en-têtes manquants et un HTTPS correct, vous pouvez souvent corriger avec votre hébergeur en une après-midi. Pas besoin de paniquer.

WordPress : cas le plus fréquent

Thème multipurpose + douze plugins + mises à jour en retard = surface d'attaque large. L'outil repère ce qui fuit vers l'extérieur. Il ne voit pas ce qui est bien caché. D'où l'intérêt de croiser avec les logs hébergeur et une revue manuelle des extensions installées.

Les failles les plus banales restent humaines : mot de passe admin faible, compte « admin » jamais renommé, sauvegarde absente. Le PDF ne teste pas la force de votre mot de passe. Il signale l'exposition technique visible.

Après un piratage confirmé, changez tous les accès (WordPress, FTP, base, email), restaurez une version saine, puis seulement ensuite relancez un audit. Nettoyer un site infecté sans couper les portes d'entrée, c'est recommencer dans huit jours.

Pour le référencement du même site, lancez aussi l'audit SEO. Sécurité et SEO ne se remplacent pas. Et si vous voulez une vitrine sans plugins à patcher chaque mois, les options sont sur tarifs — l'outil sécurité reste libre d'accès dans tous les cas.