Audit de sécurité de site web à Nantes

Un audit de sécurité de site web recherche, avant qu’un pirate ne les trouve, les failles qui lui permettraient de prendre la main sur votre site, de voler ses données ou de le mettre hors ligne. À Nantes, FOGG Studio contrôle la configuration du serveur, du nom de domaine et des e-mails, le CMS et ses extensions, les comptes et les sauvegardes, puis vérifie à la main les points sensibles du site en suivant le Top 10 de l’OWASP. Comptez 1 à 3 semaines et à partir de 1 500 € HT : vous recevez un rapport classé par criticité, un plan de correction, puis une contre-vérification une fois les corrections faites.

Ce n’est pas un test d’intrusion : nous ne cherchons pas à exploiter les failles, nous les repérons et nous vous expliquons comment les refermer. Et si votre situation exige un prestataire qualifié par l’ANSSI, nous vous le disons dès le premier rendez-vous.

Ce que vérifie notre audit de sécurité

L’audit part de ce qu’un attaquant voit depuis l’extérieur, descend vers ce qui fait tourner le site, puis vérifie ce qui vous permettrait de vous relever d’une attaque. Il s’applique aussi bien à un site vitrine qu’à une boutique WooCommerce, PrestaShop ou Shopify, à un site statique ou à une application métier.

HTTPS, en-têtes, DNS et e-mails

Nous vérifions d’abord ce que n’importe qui peut observer. La fiche de la CNIL « Sécuriser les sites web » recommande de mettre en œuvre le protocole TLS sur tous les sites web, en n’utilisant que ses versions les plus récentes et en vérifiant sa bonne mise en œuvre. Elle demande aussi d’activer les options HttpOnly et Secure sur tous les cookies : la première interdit aux scripts de la page de lire le cookie, la seconde réserve son envoi aux connexions chiffrées.

Nous contrôlons aussi les en-têtes de sécurité, dont l’absence ou le mauvais réglage figure parmi les erreurs de configuration recensées par le Top 10 de l’OWASP (en anglais), la liste de référence des risques des applications web. Parmi eux figurent HSTS, qui impose au navigateur la version chiffrée du site, la politique de sécurité du contenu (CSP), qui limite les scripts autorisés à s’exécuter, et l’interdiction d’afficher vos pages dans le cadre d’un autre site, qui protège du détournement de clics. L’outil HTTP Observatory de Mozilla, hébergé sur MDN, vous en donne un premier aperçu ; l’audit examine chaque réglage et ses effets sur votre site.

Le nom de domaine et la messagerie font partie du périmètre. Nous passons en revue les enregistrements DNS, dont les sous-domaines oubliés qui pointent encore vers un service résilié et qu’un tiers pourrait reprendre pour publier sous votre nom.

Côté messagerie, nous vérifions l’authentification des e-mails par SPF, DKIM et DMARC, qui complique l’usurpation de votre adresse par un fraudeur. Ces réglages pèsent également sur la délivrabilité de vos devis et factures : depuis le 1er février 2024, Gmail exige SPF ou DKIM de tout expéditeur qui écrit à des comptes Gmail, et SPF, DKIM et DMARC au-delà de 5 000 messages par jour. Les messages non authentifiés peuvent être classés en spam ou rejetés.

Enfin, nous regardons ce que le serveur laisse voir : ports ouverts sans nécessité, interface d’administration accessible depuis n’importe où, fichiers qui n’ont rien à faire en ligne — copie de base de données, dossier .git, fichier de configuration —, messages d’erreur trop bavards, numéros de version affichés. Chacun de ces détails renseigne un attaquant, quand il ne lui ouvre pas directement la porte.

CMS, extensions et dépendances

Pour un audit de sécurité WordPress, WooCommerce ou PrestaShop, chaque extension ajoutée au fil des années est du code de plus à surveiller. Nous inventorions le cœur, le thème, les extensions ou modules et leurs versions, puis nous les croisons avec les vulnérabilités connues : bases publiques, bulletins des éditeurs et avis de sécurité du CERT-FR, publiés par l’ANSSI.

Une extension peut aussi être abandonnée par son auteur. Le répertoire officiel de WordPress signale les extensions fermées — elles ne sont plus téléchargeables, parfois à cause d’un problème de sécurité — ainsi que celles qui n’ont pas été testées avec les trois dernières versions majeures du CMS, précise la documentation de WordPress.org (en anglais). Nous les repérons, ainsi que les extensions désactivées mais toujours installées, dont le code reste sur le serveur, et les copies téléchargées hors des sources officielles.

Pour un site statique ou une application développée sur mesure, ce sont les dépendances JavaScript ou PHP qui comptent. La version 2025 du Top 10 de l’OWASP place d’ailleurs en troisième position les défaillances de la chaîne d’approvisionnement logicielle : le code tiers, les outils et les dépendances dont votre site hérite. Sur Shopify, la plateforme gère les serveurs ; l’audit se concentre alors sur les comptes du personnel, les applications installées et les scripts ajoutés au thème.

Contrôles manuels, guidés par l’OWASP Top 10

Les outils automatiques ne voient pas tout. Nous parcourons à la main les zones sensibles — formulaires, connexion, mot de passe oublié, espace client, panier, back-office — en nous appuyant sur le Top 10 de l’OWASP, dont la version 2025 place en tête les défauts de contrôle d’accès. Concrètement, nous vérifions par exemple :

• qu’un client ne peut pas afficher la facture d’un autre en changeant un numéro dans l’adresse de la page ;
• qu’aucun identifiant ni mot de passe ne transite dans l’adresse des pages, ce que la CNIL déconseille ;
• que les formulaires refusent le code qu’on tenterait d’y glisser ;
• que la connexion, l’inscription ou le mot de passe oublié ne révèlent pas si une adresse e-mail correspond à un compte, comme le recommande aussi la CNIL ;
• qu’un message d’erreur ne dévoile pas le fonctionnement interne du site.

Ces vérifications se font avec des comptes de test créés pour l’audit, puis supprimés : c’est la facture d’un compte de test que nous tentons d’afficher depuis un autre, jamais celle d’un vrai client. Nous constatons la faille sur ces comptes, sans aller plus loin ni toucher à vos données.

Comptes, droits et secrets

Une intrusion ne demande pas toujours de prouesse technique : un mot de passe réutilisé ou l’accès d’un ancien prestataire jamais supprimé suffisent. Nous passons donc en revue tous les accès — CMS, hébergement, nom de domaine, DNS, base de données, outils connectés — avec une question simple : qui peut faire quoi, et est-ce encore nécessaire ?

Nous vérifions la double authentification des comptes à privilèges, l’absence de comptes génériques partagés et de comptes par défaut, et l’endroit où sont rangés les secrets. Une clé d’API ou un mot de passe n’a rien à faire dans le code, dans un dépôt Git ou dans un e-mail : s’il s’y trouve, nous le signalons et prévoyons son renouvellement.

Sauvegardes et reprise après incident

Une sauvegarde ne sert que si elle se restaure, et si elle a survécu à l’attaque. Nous vérifions où sont stockées les copies et qui peut les effacer : un pirate qui contrôle le serveur peut-il supprimer aussi les sauvegardes ? Puis nous en restaurons une sur une copie isolée du site, pour mesurer le temps réel de remise en route.

Ce résultat est confronté à vos besoins : combien d’heures d’interruption votre activité supporte-t-elle, combien de commandes ou de messages pouvez-vous perdre ? Parmi les mesures que cite le RGPD figurent d’ailleurs des moyens de rétablir la disponibilité des données personnelles et l’accès à celles-ci « dans des délais appropriés » en cas d’incident. Si votre plan de reprise d’activité (PRA) reste à écrire ou à tester, il entre dans le plan de correction.

Des tests autorisés, encadrés et non intrusifs

Tester la sécurité d’un site sans l’accord de son propriétaire n’a rien d’un service rendu : l’article 323-1 du Code pénal punit de trois ans d’emprisonnement et de 100 000 € d’amende le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données. Rien ne démarre donc sans une autorisation écrite et signée, qui fixe le périmètre — domaines, sous-domaines, back-office, API —, les dates, la nature des contrôles et les personnes à prévenir. Si votre site est hébergé ou opéré par un tiers, nous vérifions aussi ce que son contrat autorise.

Nos contrôles sont non intrusifs. Nous ne lançons ni test de charge, ni attaque par force brute sur la page de connexion, ni tentative de piéger vos équipes par e-mail ou par téléphone, et nous ne modifions aucune de vos données. Si une faille critique apparaît en cours de route — une extension activement exploitée, une sauvegarde téléchargeable par tous —, nous vous prévenons sans attendre le rapport.

Un rapport classé par criticité

Le rapport s’adresse à vous autant qu’à un développeur. Chaque constat précise ce qui est en cause, ce qu’un attaquant pourrait en faire, comment le corriger et qui peut s’en charger, puis il est rangé dans l’un de ces quatre niveaux.

Le rapport vous est présenté lors d’une restitution, au studio ou en visio, pour que chacun reparte avec sa liste. Si votre site n’en a pas, nous recommandons d’y publier un fichier security.txt, décrit par la RFC 9116 (en anglais) : placé à l’adresse /.well-known/security.txt, il indique à la personne qui découvre une faille comment vous la signaler. Deux champs y sont obligatoires : un moyen de contact et une date d’expiration, à tenir à jour.

Audit, test d’intrusion ou maintenance : que vous faut-il ?

Ces trois prestations se complètent, elles ne se remplacent pas.

Nous ne sommes pas qualifiés PASSI, la qualification que l’ANSSI délivre aux prestataires d’audit de la sécurité des systèmes d’information. Si votre secteur ou votre donneur d’ordre l’impose, nous vous orientons vers un prestataire qualifié et pouvons préparer le terrain : inventaire, corrections évidentes, documentation des accès.

L’audit est aussi une photographie à une date donnée : dès le lendemain, une nouvelle faille peut être publiée. Au quotidien, la maintenance de site internet de notre studio prend le relais, avec des mises à jour testées, des sauvegardes vérifiées et une surveillance continue. Et si l’audit montre que l’hébergement lui-même est fragile — une application critique suspendue à un serveur unique, aucune reprise possible en cas de panne, recette et production mélangées —, notre service d’infrastructure cloud conçoit une architecture hébergée en Europe, haute disponibilité et plan de reprise testé compris.

Site piraté : diagnostic, nettoyage et remise en route

Redirections vers des sites douteux, pages en langue étrangère apparues dans Google, compte administrateur inconnu, avertissement du navigateur : quand le piratage a déjà eu lieu, l’audit devient une remise en état. Elle commence par un diagnostic — porte d’entrée, étendue des dégâts, données touchées —, qui permet de chiffrer la suite sur devis.

Selon l’état du site, nous procédons au nettoyage ou à la restauration d’une sauvegarde antérieure à l’intrusion, puis nous refermons la porte : mise à jour ou retrait de l’extension en cause, renouvellement de tous les mots de passe et de toutes les clés, revue des comptes. Les pages signalées par Google peuvent être accompagnées d’un avertissement dans les résultats, et le navigateur peut afficher une page d’alerte. Une fois le site sain, nous demandons un examen depuis le rapport sur les problèmes de sécurité de la Search Console ; Google prévient que cet examen peut prendre plusieurs jours, voire plusieurs semaines.

Nous intervenons aux horaires du studio, du lundi au vendredi de 9 h à 18 h. Les premiers gestes, eux, n’attendent pas : notre guide que faire quand un site WordPress est piraté détaille ce qu’il faut faire dans les premières heures, ce qu’il ne faut surtout pas effacer et qui prévenir.

Sécurité du site et RGPD : ce que la loi attend

Dès qu’un site collecte des données personnelles — un formulaire de contact suffit —, sa sécurité devient une obligation. L’article 32 du RGPD impose des mesures adaptées au risque, parmi lesquelles il cite, selon les besoins, une procédure visant « à tester, à analyser et à évaluer régulièrement l’efficacité des mesures » : c’est précisément le rôle d’un audit. L’article 33 ajoute qu’une violation de données présentant un risque pour les personnes doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Toute violation, même non notifiée, doit être documentée en interne, et l’article 34 impose de prévenir les personnes concernées si le risque est élevé.

La CNIL ne sanctionne pas que les grands groupes. Sa liste des sanctions prononcées recense, pour 2025, des amendes de 5 000 à 20 000 € en procédure simplifiée qui retiennent notamment un défaut de sécurité des données, contre une commune, une association, plusieurs commerces ou l’éditeur d’un site de rencontres. Un audit ne vaut pas certificat de conformité, mais il documente ce qui a été vérifié, corrigé et planifié ; l’analyse juridique de votre situation reste l’affaire de votre délégué à la protection des données ou de votre conseil.

Après l’audit : corriger, puis durer

Selon les points, la correction revient à votre équipe (un réglage du CMS), à votre hébergeur (une option du serveur) ou à un développeur (une faille du code). Nous pouvons réaliser les corrections nous-mêmes, sur devis, ou accompagner votre prestataire actuel ; dans tous les cas, nous contrôlons ensuite chaque point corrigé et mettons le rapport à jour.

Quand la faille se trouve dans le code d’une application métier ou d’une API, sa correction peut être confiée à notre équipe de développement web sur mesure, qui suit ces mêmes repères de l’OWASP dès la conception. Quand le CMS n’est plus maintenu et que chaque correctif en appelle un autre, une refonte du site sur une base saine peut revenir moins cher qu’une succession de rustines. Pour la suite, notre guide des gestes à prévoir pour entretenir un site après sa mise en ligne évite de retrouver les mêmes failles au prochain audit.

Budget et délais

L’audit démarre à 1 500 € HT et dure 1 à 3 semaines, restitution comprise. Son prix dépend du nombre de sites et de sous-domaines, de la technologie — un site statique demande moins de contrôles qu’un WordPress chargé d’extensions —, de la présence d’un espace client, d’un paiement en ligne ou d’une API, et du nombre de profils d’utilisateurs à tester. Les corrections et la remise en état d’un site piraté sont chiffrées après diagnostic.

Le tarif de l’audit de sécurité figure aussi sur notre page tarifs. Pour en parler, le premier rendez-vous de 30 minutes est gratuit, au studio à Nantes ou en visio, et toute demande reçoit une réponse sous 48 h ouvrées.