Sécurité d'un site web : ce que n'importe qui peut voir (et le RGPD)
Cookies sans accord, mentions absentes, e-mail usurpable, logiciels dépassés : ce que tout visiteur peut constater sur votre site, et pourquoi le corriger.
Quand on parle de sécurité d'un site, on pense souvent à un pirate qui force l'entrée. En réalité, une bonne partie des problèmes se voient sans rien forcer du tout. Il suffit d'ouvrir le site comme n'importe quel visiteur, de regarder le code que le navigateur reçoit, et de consulter les informations publiques du nom de domaine.
C'est exactement ce que fait un robot malveillant avant de s'intéresser à un site. Et c'est aussi ce que peut constater un client attentif, un concurrent ou la CNIL.
Ce guide passe en revue ces points visibles, pourquoi ils comptent et ce qu'ils disent de votre site.
Pourquoi parler de sécurité « visible »
Il y a deux façons de contrôler la sécurité d'un site.
- Le contrôle externe : on regarde uniquement ce que le site montre à tout le monde. Pas de mot de passe essayé, pas de page cachée cherchée, pas de test d'intrusion. N'importe qui peut le faire, et c'est légal.
- L'audit complet : on teste réellement les défenses du site (formulaires, accès administrateur, base de données). Il demande l'accord écrit du propriétaire. Tester un site sans autorisation est puni par le Code pénal (article 323-1), même avec de bonnes intentions.
Le contrôle externe ne remplace pas un audit complet. Mais il repère des problèmes réels, souvent simples à corriger, et il donne une bonne idée de la façon dont le site est entretenu.
Ce que n'importe quel visiteur peut constater
1. Des traceurs qui se chargent sans demander l'accord
Google Analytics, pixel Meta, Hotjar, Google Ads : ces outils déposent des cookies ou suivent le visiteur. La réglementation impose de demander son accord avant de les charger, avec un vrai choix entre accepter et refuser.
Un site qui charge ces outils directement, sans bandeau ou avec un bandeau qui ne propose que « J'accepte », n'est pas en règle. C'est l'un des points que la CNIL contrôle le plus souvent, et il se vérifie en quelques secondes en lisant le code de la page.
2. Des mentions obligatoires absentes
Tout site professionnel doit afficher des mentions légales : identité de l'entreprise, adresse, hébergeur, directeur de la publication. Et dès qu'un formulaire recueille un nom, un e-mail ou un téléphone, le visiteur doit savoir ce que deviennent ses données : c'est le rôle de la politique de confidentialité, ou d'une section « données personnelles » dans les mentions légales.
Un formulaire de contact sans aucune information sur l'usage des données est un manquement au RGPD, même sur un petit site vitrine.
3. Une adresse e-mail que n'importe qui peut usurper
Ce point ne concerne pas le site lui-même mais le nom de domaine, et c'est souvent le plus grave. Sans protection DMARC, n'importe qui peut envoyer un e-mail qui semble venir de contact@votre-entreprise.fr : fausse facture, faux changement de RIB, demande de paiement urgente. Le message arrive chez vos clients comme s'il venait de vous.
DMARC est un simple réglage du nom de domaine, qui indique aux messageries quoi faire des e-mails qui prétendent venir de vous sans en avoir le droit. Il existe trois niveaux : observer seulement (p=none), classer en indésirables (p=quarantine) ou rejeter (p=reject). Le premier niveau ne protège encore personne.
4. Des logiciels qui ne sont plus à jour
Beaucoup de sites affichent publiquement leur version de WordPress, de PHP ou de certaines bibliothèques JavaScript. Quand ces versions sont anciennes, elles ont des failles connues et documentées, que des robots cherchent automatiquement sur des milliers de sites chaque jour.
Un WordPress en retard de plusieurs versions, ou une version de PHP qui ne reçoit plus de correctifs, c'est une porte que l'on sait ouvrir. Ce ne sont pas des attaques ciblées : les robots ne choisissent pas votre entreprise, ils cherchent n'importe quel site vulnérable.
5. Des clés secrètes visibles dans le code
C'est un problème qui se répand avec les outils qui génèrent un site ou une application à partir d'une simple description, avec l'aide de l'IA. Ces outils produisent vite quelque chose qui fonctionne, mais ils placent parfois des clés secrètes (paiement, service d'intelligence artificielle, base de données) dans le code envoyé au navigateur.
Toute personne qui affiche le code de la page peut alors les récupérer et les utiliser au nom de l'entreprise : consommer son crédit d'API, lire ses données, voire émettre des remboursements. Un site qui « marche » n'est pas forcément un site sûr.
6. Des protections du navigateur non activées
Quelques réglages du serveur protègent les visiteurs : imposer la connexion chiffrée (HTTPS), empêcher que le site soit affiché dans une page piégée, limiter les scripts autorisés à s'exécuter. Ils ne se voient pas à l'écran, mais n'importe quel outil de contrôle les détecte. Leur absence n'est pas une faille en soi, mais elle laisse plus de marge aux attaques qui visent les visiteurs.
Ce que ce contrôle ne voit pas
Un contrôle externe ne dit rien de la solidité des mots de passe, de la configuration de la base de données, des droits d'accès des utilisateurs ou des sauvegardes. Un site peut avoir un bon résultat ici et une faille sérieuse ailleurs.
C'est pour cela qu'il faut le prendre comme un premier état des lieux : si les points visibles sont négligés, il y a de bonnes chances que le reste le soit aussi. S'ils sont propres, c'est bon signe, sans être une garantie.
Ce que j'ai ajouté au contrôle technique de Novode
Le contrôle technique gratuit de Novode mesurait déjà la vitesse, le référencement et la préparation aux IA. Il a désormais un bloc Sécurité et RGPD, qui vérifie les points décrits dans ce guide :
- les traceurs chargés sans consentement ;
- les mentions légales et l'information sur les données personnelles ;
- la protection DMARC du domaine ;
- les versions de WordPress, de PHP et de jQuery ;
- les clés secrètes présentes dans le code de la page ;
- les protections du navigateur.
Le contrôle reste strictement externe : il lit ce que n'importe quel visiteur reçoit, rien de plus. Chaque point indique ce qui est constaté et pourquoi c'est important.
J'ai commencé par l'appliquer à mon propre site. Il m'a fait corriger plusieurs points sur novode.fr : liste des scripts autorisés, mention sur l'usage des données sous chaque formulaire, protection DMARC renforcée.
Questions fréquentes
Ce contrôle est-il légal sur n'importe quel site ? Oui, parce qu'il ne fait rien de plus qu'un visiteur : il affiche la page, lit les en-têtes renvoyés par le serveur et consulte les informations publiques du domaine. Il n'essaie aucun mot de passe et ne cherche aucune page cachée.
Mon site est petit, est-ce qu'il intéresse vraiment des pirates ? Les attaques les plus courantes sont automatiques : des robots parcourent le web à la recherche de versions vulnérables, sans regarder à qui appartient le site. Un petit site mal entretenu est une cible aussi facile qu'un grand.
Qui est responsable si mon site n'est pas conforme au RGPD ? L'entreprise qui exploite le site, même si c'est un prestataire qui l'a réalisé. D'où l'intérêt de vérifier ces points, surtout sur un site ancien ou fait rapidement.
Le contrôle remplace-t-il un audit de sécurité ? Non. Il repère ce qui se voit de l'extérieur. Un audit complet, avec l'accord du propriétaire, va plus loin : accès administrateur, base de données, formulaires, sauvegardes.
Vérifiez votre site en quelques minutes
Lancez le contrôle technique gratuit : vitesse, référencement, préparation aux IA, et maintenant sécurité et RGPD. Sans inscription.
Si des points ressortent en rouge, je peux vous expliquer ce qu'ils impliquent pour votre entreprise et les corriger avec vous, que votre site ait été fait par Novode ou non.