Audit de sécurité d'un site web : ce qu'il couvre vraiment

On ne peut pas protéger ce qu'on ne mesure pas. Un audit de sécurité fait l'état des lieux objectif de votre site : où sont les failles, quelles données sont exposées, quelles portes restent ouvertes. C'est l'étape qui transforme une sécurité approximative en une démarche pilotée. Voici ce qu'un audit sérieux couvre réellement, avec quels outils et à quelle fréquence.

Ce que couvre un audit de sécurité

Un bon audit ne se limite pas à lancer un scanner automatique. Il examine plusieurs couches, du serveur jusqu'au code applicatif, pour dresser une cartographie complète des risques.

• La surface d'attaque : ports ouverts, services exposés, pages d'administration accessibles, sous-domaines oubliés.
• Les vulnérabilités applicatives : injection SQL, XSS, failles d'authentification et de gestion des sessions.
• La configuration serveur et les en-têtes de sécurité HTTP.
• L'état des dépendances et des composants tiers (CMS, plugins, bibliothèques) au regard des failles connues.
• La gestion des accès et des secrets : mots de passe, clés d'API, permissions excessives.
• La conformité du HTTPS et des certificats.

Les en-têtes de sécurité HTTP

Souvent négligés, les en-têtes de sécurité sont pourtant un moyen simple et gratuit de fermer plusieurs vecteurs d'attaque. Un audit vérifie systématiquement leur présence et leur configuration.

• Content-Security-Policy (CSP) : contrôle les sources de scripts autorisées et bloque l'exécution de code injecté (XSS).
• Strict-Transport-Security (HSTS) : force les connexions en HTTPS et empêche la rétrogradation vers du non chiffré.
• X-Content-Type-Options et X-Frame-Options : neutralisent le détournement de type de contenu et le clickjacking.
• Referrer-Policy et Permissions-Policy : limitent les fuites d'informations et l'accès aux API sensibles du navigateur.

Audit automatisé, pentest, revue de code

Tous les audits ne se valent pas, et le bon niveau dépend de vos enjeux. Un scan automatisé détecte rapidement les vulnérabilités connues et les erreurs de configuration : c'est le point de départ accessible à tous. Un pentest (test d'intrusion) va plus loin : un expert tente activement de pénétrer le site comme le ferait un attaquant, révélant des failles logiques qu'aucun outil ne détecte. Enfin, la revue de code inspecte directement le code source pour repérer les vulnérabilités à la racine. Plus vos données sont sensibles, plus vous montez dans cette échelle.

Le maillon faible : les dépendances

La majorité des sites modernes reposent sur des dizaines, voire des centaines de bibliothèques tierces. Chacune peut contenir une faille, et une faille dans une dépendance devient une faille dans votre site. Un audit vérifie l'inventaire complet de ces composants et les confronte aux bases de vulnérabilités connues. Cette analyse doit être continue, pas ponctuelle : une bibliothèque sûre aujourd'hui peut voir une faille critique publiée demain. L'automatisation de cette surveillance est l'une des mesures au meilleur rapport effort / bénéfice.

À quelle fréquence auditer son site ?

Un audit n'est pas un examen qu'on passe une fois. La règle générale : un audit complet au moins une fois par an, et systématiquement après un changement majeur (refonte, migration, ajout d'une fonctionnalité sensible comme le paiement). La surveillance des dépendances et des en-têtes, elle, doit être continue et automatisée. Entre deux audits approfondis, cette veille permanente évite qu'une faille connue ne reste ouverte pendant des mois. C'est la combinaison des deux, ponctuel et continu, qui maintient un site réellement sûr dans la durée.