Question 1

"Comment vérifier si mon site utilise HTTPS ?"

Accepted Answer

"Ouvrez votre site dans un navigateur et regardez la barre d'adresse. Si vous voyez une icône de cadenas fermé et que l'URL commence par https://, votre site se charge en toute sécurité via HTTPS. Si 'Non sécurisé' s'affiche ou si le cadenas est absent, vous devez installer un certificat TLS — des options gratuites comme Let's Encrypt fonctionnent très bien."

Question 2

"Mon site redirige-t-il HTTP vers HTTPS ?"

Accepted Answer

"Tapez votre domaine sans https:// (juste 'votredomaine.fr') dans la barre d'adresse. Si vous êtes automatiquement redirigé vers une page https:// sécurisée avec un cadenas, la redirection fonctionne. Si la page reste en http://, ajoutez une redirection permanente 301 dans votre configuration serveur (.htaccess, nginx ou paramètres CDN)."

Question 3

"Qu'est-ce que HSTS et comment vérifier s'il est activé ?"

Accepted Answer

"HSTS (HTTP Strict Transport Security) oblige les navigateurs à toujours utiliser HTTPS, empêchant les attaques de SSL stripping. Ouvrez les Outils de développement (F12), allez dans l'onglet Réseau, rechargez votre site et cherchez 'Strict-Transport-Security' dans les En-têtes de réponse. La valeur devrait contenir 'max-age=31536000'."

Question 4

"Quels en-têtes de sécurité mon site devrait-il avoir ?"

Accepted Answer

"Au minimum, X-Frame-Options (empêche le clickjacking), X-Content-Type-Options: nosniff (empêche les attaques MIME) et une Content-Security-Policy (empêche les XSS). Vérifiez les En-têtes de réponse dans les Outils de développement. Avoir ne serait-ce que 2 de ces 3 en-têtes est un bon début pour un site de petite entreprise."

Question 5

"Comment savoir si ma page d'administration est exposée ?"

Accepted Answer

"Essayez d'accéder à /admin, /wp-admin et /login sur votre domaine dans un navigateur. Si l'une de ces pages affiche un formulaire de connexion, votre panneau d'administration est publiquement accessible — une cible pour les attaques par force brute. Une erreur 404 ou 403 est un bon signe. Si visible, restreignez l'accès par adresse IP."

Question 6

"Comment protéger mon domaine contre l'usurpation d'email ?"

Accepted Answer

"Configurez les enregistrements DNS SPF et DMARC pour votre domaine. SPF liste les expéditeurs autorisés, DMARC indique aux serveurs destinataires comment traiter les messages non autorisés. Commencez par un enregistrement SPF TXT et un enregistrement DMARC avec p=none pour la surveillance."

Question 7

"Ai-je besoin d'une politique de confidentialité et de mentions légales sur mon site ?"

Accepted Answer

"Oui. Une politique de confidentialité est légalement obligatoire dans la plupart des juridictions (RGPD en Europe). Elle doit décrire les données collectées et leur utilisation — un texte générique ne suffit pas. Les sites professionnels en France nécessitent également des mentions légales avec les coordonnées complètes de l'entreprise."

Score de confiance site web gratuit en 5 minutes — SAB Security

Test de confiance de site web

Détail des points

Corrections prioritaires

Vous voulez un contrôle professionnel et automatisé ?

Comment fonctionne cet outil

Auto-guidé

Score instantané

Confidentiel et gratuit

Score inférieur à 70 ? Voici ce que vous pouvez faire.

Critique — agissez maintenant

Perfectible

Bon — continuez