Comment réaliser un audit de sécurité d’un site web ?

Un audit de sécurité web va au-delà d’une recherche de logiciels malveillants. Évaluez ensemble la surface d’attaque, les droits des utilisateurs, les dépendances, la configuration du serveur et la capacité de réponse aux incidents.

L'objectif de la vérification n'est pas d'éliminer toutes les possibilités, mais de rendre visibles les risques et de les hiérarchiser en fonction de l'impact et de la probabilité.

Inventaire des ressources et de la surface d’attaque

Répertoriez les domaines, sous-domaines, interfaces d’administration, points d’accès API, zones de téléversement, scripts tiers et intégrations.

Des environnements de préproduction oubliés ou d’anciens sous-domaines peuvent créer une surface d’attaque inattendue.

TLS et HTTPS

Vérifiez la chaîne et la validité des certificats, les redirections HTTP et les contenus mixtes.

En-têtes de sécurité

Content-Security-Policy
X-Content-Type-Options
Referrer-Policy
Permissions-Policy
Restrictions d’intégration dans des cadres
Adéquation de HSTS

Authentification

Une politique de mot de passe solide, 2FA et protection contre la force brute devraient être évalués dans les comptes d'utilisateurs administratifs et critiques.

Autorisation

Vérifiez que les utilisateurs ne peuvent effectuer que les actions autorisées par leur rôle. Une authentification réussie ne donne pas accès à toutes les données.

Gestion des dépendances et des patchs

CMS, framework, plugin, thème et statut de support de paquets doivent être vérifiés. Les composants non utilisés doivent être enlevés.

Sécurité des téléversements et des saisies

Vérifiez les types, tailles et modes de stockage autorisés pour les téléversements. Traitez toutes les saisies des utilisateurs comme des données non fiables.

Journalisation et préparation aux incidents

Consignez les échecs de connexion, les modifications administratives, les erreurs applicatives et les événements de sécurité critiques pour permettre une analyse ultérieure.

Comment évaluer la préparation à la production ?

Une page qui s’ouvre dans un navigateur n’est pas nécessairement prête pour la production. Définissez des critères d’acceptation mesurables pour l’inventaire des ressources et de la surface d’attaque, TLS et HTTPS, et les en-têtes de sécurité. Des références de disponibilité, de temps de réponse, de taux d’erreur, de durée de déploiement et de parcours essentiels permettent d’évaluer les changements suivants. Documentez les différences de configuration entre préproduction et production et limitez autant que possible les modifications manuelles directes en production.

Évaluez ensemble la sécurité et les performances. Un CDN ou un cache peuvent réduire la charge du serveur d’origine, mais une règle incorrecte peut exposer des contenus personnalisés à d’autres utilisateurs. Un WAF ou une limitation du débit de requêtes peuvent réduire la surface d’attaque sans bloquer les API et intégrations essentielles. Testez les changements de sécurité avec des scénarios de trafic réalistes et centralisez la surveillance des journaux applicatifs, des reverse proxies et de l’état des services externes.

Plan de déploiement et de retour arrière

Avant de déployer une nouvelle version, de mettre à jour le CMS ou de modifier l’infrastructure, vérifiez la disponibilité des sauvegardes de la base de données et des fichiers. Prévoyez, si nécessaire, une maintenance ou une redirection du trafic, ainsi qu’une procédure de retour arrière pour les versions comportant une migration de base de données. Après le déploiement, ne vérifiez pas uniquement la page d’accueil : des tests de bon fonctionnement doivent couvrir les fonctions essentielles comme la connexion, les formulaires, la recherche, les API, les paiements et la collecte de prospects. Cette démarche traite l’infrastructure web comme un système de production exploité en continu, et non comme un projet ponctuel.

Liste de contrôle technique de l'infrastructure Web

Les environnements de préproduction et de production sont-ils séparés ?
Le déploiement peut-il être annulé par un retour arrière ?
Est-ce qu'un test de restauration de sauvegarde a été effectué?
Les journaux applicatifs et du serveur web sont-ils surveillés ?
Les en-têtes de sécurité et TLS ont-ils été vérifiés ?
Les règles de contournement du cache ont-elles été testées ?
Les cycles de vie des environnements d’exécution et des dépendances sont-ils suivis ?
Des tests de bon fonctionnement vérifient-ils les parcours utilisateurs essentiels ?

Gestion des changements, SLO et préparation aux incidents

Évaluez la qualité technique au-delà de la mise en ligne initiale. Les mises à jour peuvent modifier les dépendances, le CMS, l’environnement d’exécution, le cache, les règles de sécurité et les intégrations. Suivez les changements par des tickets ou des fiches de version pour savoir quelle version est passée en production et quand. Définissez les procédures de retour arrière avant les changements critiques. Vérifiez notamment les changements concernant l’inventaire des ressources et de la surface d’attaque, TLS et HTTPS, et les en-têtes de sécurité avec des métriques comparables avant et après déploiement.

Définissez des objectifs opérationnels mesurables, par exemple des objectifs de niveau de service (SLO). La disponibilité, le temps de réponse P95, le taux d’erreurs 5xx, la réussite des formulaires ou transactions essentiels et les erreurs après déploiement reflètent l’état réel de l’application. Un serveur accessible ne suffit pas : l’accueil peut répondre HTTP 200 alors qu’un formulaire, un paiement, une recherche ou une API ne fonctionne pas. Complétez la surveillance technique par des contrôles synthétiques ou des tests de bon fonctionnement des parcours essentiels.

Définissez à l’avance qui détecte les incidents, quelle équipe intervient en premier et quand effectuer un retour arrière. Relier les journaux, identifiants de requêtes, heures de déploiement et métriques d’infrastructure à un même incident accélère la recherche des causes. Après le rétablissement, consignez les actions techniques ou organisationnelles destinées à éviter une récidive, au lieu de vous arrêter à la remise en service. L’infrastructure gagne ainsi en résilience.

L’approche de B10 Digital Agency pour l’infrastructure web

B10 Digital Agency considère les projets web comme des systèmes de production, et non comme du seul développement d’interface. Sécurité, performances, déploiement, intégration, expérience utilisateur et maintenance durable sont conçus ensemble.

Questions fréquentes

L'audit de sécurité est-il le même que les tests de pénétration?

Non. Un test d’intrusion peut faire partie d’un audit ; l’audit comprend aussi des contrôles de configuration et de processus.

HTTPS rend-il le site complètement sécurisé ?

Non. TLS n’est qu’un élément important de la sécurité des communications.

Est-ce suffisant d'ajouter des en-têtes de sécurité ?

Non. La sécurité de l’application, des accès, des dépendances et du serveur doit être traitée dans son ensemble.

À quelle fréquence une vérification de sécurité devrait-elle être effectuée?

Selon le risque et la fréquence des changements, les audits peuvent être menés périodiquement et après des changements importants.

Sécurisez votre infrastructure web et préparez-la à évoluer

Découvrez l’approche de B10 Digital Agency pour évaluer ensemble la sécurité, les performances, le déploiement et les intégrations de votre site.

Découvrez le développement web et l’infrastructure sécurisée →