Accueil
Blog
Tester la sécurité de son site web

Audit de sécurité de site internet

Tester la sécurité de son site web : certificat SSL, HTTPS et en-têtes

Saisissez un domaine, obtenez en quelques minutes une note de A+ à F alignée sur la méthode SSL Labs, la liste des problèmes trouvés et, pour chacun, la correction à appliquer. Protocoles, certificat, HSTS, en-têtes de sécurité, DNS et e-mail, cookies et traceurs : tout ce qu’un attaquant voit de l’extérieur.

Créer mon compte Lancer un audit Voir les corrections

Tout site public, sans vérification de propriété
Non intrusif
Hébergé en Europe

Exemple de rapport

exemple.fr

Audit du 6 octobre 2026

BNote SSL/TLS

TLS 1.0 et 1.1 encore acceptés
HSTS absent
Certificat : expire dans 12 jours
DMARC absent
TLS 1.3 et confidentialité persistante

Exemple fictif, à titre d’illustration.

Ce que l’audit vérifie

Un test SSL complet, et tout ce qui l’entoure

L’audit SSL/TLS s’appuie sur le moteur open source testssl.sh et note votre site selon la méthode de SSL Labs. Il ajoute l’empreinte publique de votre domaine, et un audit de confidentialité optionnel contrôle les cookies.

Une note de A+ à F

La note globale de votre configuration TLS, calculée selon la méthode SSL Labs, avec ce qui la fait baisser et ce qu’il faut changer pour la remonter.

Audit SSL/TLS

Protocoles et chiffrement

Versions acceptées (SSL 2 et 3, TLS 1.0 à 1.3), suites de chiffrement, confidentialité persistante, failles TLS connues détectées par testssl.sh.

Inclus

Certificat SSL

Validité, chaîne de certification, nom de domaine couvert, autorité émettrice, date d’expiration et taille de clé.

Inclus

HTTPS, HSTS et en-têtes

Redirection vers HTTPS, Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, et version du serveur divulguée.

Inclus

Empreinte publique

Hébergement, enregistrements DNS, sécurité de la messagerie (SPF, DMARC), en-têtes web et sous-domaines visibles publiquement.

Inclus

Audit de confidentialité RGPD

Ce que votre page d’accueil dépose et contacte avant tout choix, après refus et après acceptation : cookies, stockage du navigateur, traceurs tiers et transferts hors de l’Union européenne.

Audit de confidentialité

Exemple de résultat

À quoi ressemble un rapport

Chaque constat est classé, expliqué et accompagné de sa correction. Le même contenu est exportable en PDF.

Contrôle	Constat	Pourquoi c’est important
Protocoles	À corriger TLS 1.2 et 1.3, mais aussi TLS 1.0 et 1.1	Protocoles obsolètes : la note est plafonnée à B dans la méthode SSL Labs.
Chiffrement	Bon Suites ECDHE avec AES-GCM et ChaCha20	Confidentialité persistante : une clé volée ne déchiffre pas le trafic passé.
Certificat	À améliorer Valide, expire dans 12 jours	Si le renouvellement échoue, les navigateurs bloquent le site.
HSTS	À améliorer Absent	Pas de A+ possible, et la première visite en HTTP peut être interceptée.
En-têtes de sécurité	À améliorer Content-Security-Policy et X-Frame-Options absents	Moins de protection contre l’injection de scripts et le détournement de clic.
Serveur	À améliorer En-tête « Server: Apache/2.4.41 (Ubuntu) »	La version exacte aide un attaquant à chercher des failles connues.
E-mail	À corriger SPF présent, DMARC absent	Votre domaine peut être usurpé plus facilement dans des e-mails d’hameçonnage.
Sous-domaines	À améliorer 7 trouvés, dont staging.exemple.fr	Un environnement de test exposé est souvent moins protégé.
Cookies (audit de confidentialité)	À corriger 3 traceurs déposés avant le consentement	La CNIL demande l’accord de l’internaute avant tout traceur non essentiel.

Corriger

Les 6 problèmes les plus fréquents et comment les corriger

Des extraits de configuration courts pour Apache et Nginx. Testez toujours sur un environnement de préproduction, rechargez le serveur, puis relancez l’audit.

1
TLS 1.0 et 1.1 encore activés
Le risque : Ces versions de 1999 et 2006 sont abandonnées par les navigateurs et exposées à des attaques connues. Les garder plafonne votre note à B.
La correction : N’autorisez que TLS 1.2 et TLS 1.3.
Apache
```
SSLProtocol -all +TLSv1.2 +TLSv1.3
```
Nginx
```
ssl_protocols TLSv1.2 TLSv1.3;
```
Relancez l’audit : le plafond à B disparaît.
2
HSTS absent
Le risque : Sans HSTS, un visiteur qui tape votre adresse sans « https » passe d’abord en clair : un attaquant sur le même réseau peut détourner cette première requête.
La correction : Ajoutez l’en-tête Strict-Transport-Security, d’abord avec une durée courte, puis un an une fois tout vérifié. N’ajoutez includeSubDomains que si tous vos sous-domaines sont en HTTPS.
Apache
```
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
```
Nginx
```
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
```
Avec HSTS et une configuration propre, la note A+ devient atteignable.
3
Certificat qui expire
Le risque : Un certificat expiré déclenche une alerte bloquante dans tous les navigateurs : pour vos visiteurs, le site est hors service.
La correction : Automatisez le renouvellement (Let’s Encrypt et certbot, ou l’option de votre hébergeur), vérifiez que la tâche planifiée tourne, et faites surveiller la date d’expiration.
Shell (certbot)
```
sudo certbot renew --dry-run
systemctl list-timers | grep certbot
```
Un audit régulier signale l’échéance bien avant la coupure.

En-têtes de sécurité manquants

Le risque : Ces en-têtes demandent au navigateur de bloquer l’affichage de votre site dans un cadre étranger, de ne pas deviner les types de fichiers et de limiter les sources de scripts.

La correction : Ajoutez les en-têtes ci-dessous. Pour la Content-Security-Policy, commencez en mode Content-Security-Policy-Report-Only, car une politique trop stricte peut casser des pages.

Apache

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Content-Security-Policy-Report-Only "default-src 'self'; frame-ancestors 'self'"

Nginx

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Content-Security-Policy-Report-Only "default-src 'self'; frame-ancestors 'self'" always;

Sur un hébergement mutualisé, ces lignes Apache fonctionnent souvent dans le fichier .htaccess.

5
DMARC absent ou trop permissif
Le risque : Sans DMARC, n’importe qui peut envoyer des e-mails qui semblent venir de votre domaine. C’est la base des fraudes au faux fournisseur.
La correction : Publiez un enregistrement SPF qui liste vos expéditeurs légitimes, signez avec DKIM, puis publiez DMARC en mode observation (p=none) avant de passer à quarantine puis reject.
DNS
```
example.com.         TXT  "v=spf1 include:_spf.provider.example -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
```
Gmail et Yahoo exigent déjà SPF, DKIM et DMARC des expéditeurs en volume.
6
Version du serveur divulguée
Le risque : Un en-tête « Server: Apache/2.4.41 » ou « X-Powered-By: PHP/8.1 » indique à un attaquant quelles failles connues essayer en premier.
La correction : Masquez les numéros de version, et surtout gardez les logiciels à jour : masquer ne remplace pas les correctifs.
Apache
```
ServerTokens Prod
ServerSignature Off
```
Nginx
```
server_tokens off;
```
php.ini
```
expose_php = Off
```
Le constat disparaît du rapport à l’audit suivant.

Ces extraits sont des points de départ : adaptez-les à votre configuration et gardez une copie de l’original avant toute modification.

Comment ça marche

Votre premier audit en 3 étapes

1
Créez votre compte
Inscription gratuite en une minute, sans carte bancaire. L’offre de lancement BETATEST2026 crédite des Kredits offerts tant qu’elle est active.
2
Saisissez le domaine
Votre site, celui d’un client ou d’un fournisseur : tout site public peut être audité, sans vérification de propriété.
3
Recevez le rapport PDF
Note de A+ à F, constats classés et corrections. Corrigez, relancez l’audit et regardez la note monter.

Combien coûte un audit ?

Le tarif actuel des audits SSL/TLS et de confidentialité est indiqué sur la page Tarifs. Un tarif SSL à 0 Kredit permet aux utilisateurs connectés de lancer cet audit gratuitement, sans abonnement ni carte bancaire. Les autres audits conservent leur propre tarif. Pour démarrer, l’offre de lancement BETATEST2026 crédite 10 Kredits offerts à l’inscription, tant qu’elle est active.

Voir les tarifs

Questions fréquentes

Tester son site : vos questions

Le test SSL est-il gratuit ?

L’inscription est gratuite et sans carte bancaire. Le tarif SSL est configurable et affiché sur la page Tarifs : à 0 Kredit, le scan est gratuit pour les utilisateurs connectés. Un tarif positif nécessite les Kredits indiqués, sans abonnement. Tant que l’offre de lancement BETATEST2026 est active, elle crédite 10 Kredits offerts à la création du compte.

Puis-je tester un site qui ne m’appartient pas ?

Oui pour l’audit SSL/TLS et l’audit de confidentialité : ils n’utilisent que des informations publiques et des connexions comparables à celles d’un navigateur, sans vérification de propriété. Le test d’intrusion, lui, n’est possible que sur un domaine vérifié et avec un mandat signé.

L’audit peut-il perturber mon site ?

Non. L’audit établit des connexions TLS et envoie des requêtes HTTP ordinaires pour observer la configuration. Il ne tente aucune intrusion et ne modifie rien sur le serveur.

Que veut dire la note A+ ?

C’est la meilleure note de la méthode SSL Labs : protocoles récents seulement, chiffrement solide, certificat valide et HSTS activé. La note baisse avec les protocoles obsolètes (plafond à B pour TLS 1.0 et 1.1) et tombe à F en cas de faille grave.

Quelle différence avec un test SSL en ligne classique ?

La notation suit la même méthode que SSL Labs. KrakenShield y ajoute les en-têtes de sécurité, l’empreinte DNS et e-mail (SPF, DMARC), les sous-domaines visibles, des corrections expliquées en français et un rapport PDF, avec l’historique de vos audits.

Mon site est sur un hébergement mutualisé : puis-je corriger moi-même ?

En partie. Les en-têtes de sécurité et HSTS se règlent souvent dans le fichier .htaccess. Les protocoles TLS et le certificat dépendent en général de l’hébergeur : le rapport PDF vous donne les éléments précis à lui transmettre.

Combien de temps prend l’audit ?

Quelques minutes pour l’audit SSL/TLS. Le rapport est disponible dans votre console et exportable en PDF dès la fin de l’analyse.

Pour aller plus loin

Sécurité des applications web

Injections, XSS, authentification : les failles les plus courantes et leurs parades.

Lire

Le chiffrement expliqué

TLS, certificats et clés, sans formule mathématique.

Lire

NIS2 pour les PME

Qui est concerné, les 10 mesures obligatoires et une checklist en 15 points.

Lire

Glossaire : HSTS

La définition de l’en-tête qui force HTTPS, et ses pièges.

Lire

Votre site, noté en quelques minutes

Lancez votre premier test SSL.

Créez votre compte, saisissez votre domaine et recevez une note de A+ à F avec les corrections à appliquer.

Votre console est prête : saisissez un domaine et lancez l’audit.

Créer mon compte Lancer un audit

Inscription gratuite, sans carte bancaire, avec 10 Kredits offerts par l’offre de lancement BETATEST2026 tant qu’elle est active. Hébergé en Europe.

Tester la sécurité de son site web : certificat SSL, HTTPS et en-têtes