Rudra Analyzer

Vérificateur de sécurité de site gratuit

Vérifiez les bases de la protection de vos visiteurs : si votre site utilise le HTTPS, si son certificat SSL/TLS est valide et n'est pas sur le point d'expirer, et quels en-têtes de sécurité votre serveur envoie. C'est une vérification rapide de la configuration, pas un test d'intrusion.

Saisissez une page, par exemple https://yourwebsite.com ou https://yourwebsite.com/pricing.

Ce que vérifie cet outil

  • HTTPS

    Si la page aboutit sur une adresse https:// après les éventuelles redirections.

  • Certificat SSL/TLS

    Si le certificat est reconnu et correspond à votre domaine, quelle version de TLS est utilisée, qui l'a émis et combien de jours restent avant son expiration.

  • HSTS

    L'en-tête Strict-Transport-Security, qui indique aux navigateurs de toujours utiliser le HTTPS pour votre site.

  • Content-Security-Policy

    Un en-tête qui limite les sources depuis lesquelles les scripts et autres ressources peuvent être chargés, ce qui aide à se protéger du cross-site scripting.

  • Protection contre le clickjacking

    X-Frame-Options, ou une règle frame-ancestors dans votre CSP, qui empêche d'autres sites d'intégrer vos pages de façon invisible.

  • Autres en-têtes de protection

    X-Content-Type-Options, Referrer-Policy et Permissions-Policy.

  • Divulgation de version

    Des en-têtes Server ou X-Powered-By qui révèlent les numéros de version de vos logiciels.

Comment fonctionne la vérification

Nous envoyons une requête normale à votre page, suivons les éventuelles redirections et lisons les en-têtes de la réponse. Nous ouvrons ensuite une connexion TLS distincte vers votre serveur et validons le certificat auprès de la liste standard des autorités de certification de confiance.

Le score part de 100. Ne pas utiliser le HTTPS coûte 40 points ; un en-tête HSTS manquant 15 ; une CSP manquante 12 ; l'absence de protection contre le clickjacking 8 ; un en-tête X-Content-Type-Options manquant 6 ; une Referrer-Policy ou une Permissions-Policy manquante 4 chacune ; et un numéro de version divulgué 3. Un certificat invalide ou expiré coûte 40, un échec de connexion TLS 30, et un certificat qui expire dans les 14 ou 30 jours 10 ou 5.

Le contrôle vérifie la présence des en-têtes, pas la solidité de leurs valeurs — une CSP très permissive compte quand même comme présente. Il ne recherche ni vulnérabilités, ni logiciels obsolètes, ni logiciels malveillants, ni mots de passe faibles, ni réglages de cookies, et n'essaie jamais de pénétrer votre site.

Problèmes fréquents que nous détectons

  • HSTS manquant

    Très courant, même sur les sites qui redirigent tout vers le HTTPS.

  • Pas de Content-Security-Policy

    L'en-tête le plus souvent absent, car sa mise en place demande un peu de soin.

  • Pas de protection contre le clickjacking

    Ni X-Frame-Options ni règle frame-ancestors.

  • Certificats proches de l'expiration

    Généralement parce que le renouvellement automatique a cessé de fonctionner après un changement de serveur ou de DNS.

  • Version du serveur visible

    Des en-têtes comme « Server: Apache/2.4.41 » ou « X-Powered-By: PHP/7.4 » qui indiquent aux attaquants quoi chercher.

  • Toujours en HTTP

    Pas de HTTPS du tout, ou HTTPS disponible mais sans redirection depuis l'adresse http://.

Comment les corriger

  1. Définissez les en-têtes là où votre site est servi

    Les en-têtes se configurent dans votre serveur web (add_header pour Nginx, Header set pour Apache), votre CDN (par exemple Cloudflare), ou les réglages ou le fichier d'en-têtes de votre hébergeur.

  2. Activez HSTS une fois le HTTPS fonctionnel partout

    Commencez par Strict-Transport-Security: max-age=31536000. N'ajoutez includeSubDomains que lorsque tous vos sous-domaines prennent en charge le HTTPS.

  3. Mettez en place la CSP progressivement

    Commencez par Content-Security-Policy-Report-Only pour voir ce qui serait bloqué, puis passez en mode appliqué une fois que votre politique autorise tout ce dont le site a besoin.

  4. Ajoutez les en-têtes simples

    X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin et X-Frame-Options: DENY (ou SAMEORIGIN) cassent rarement quoi que ce soit.

  5. Automatisez le renouvellement du certificat

    Utilisez les certificats gérés par votre hébergeur ou Let's Encrypt avec renouvellement automatique, et vérifiez que la tâche de renouvellement fonctionne toujours après des modifications du serveur.

  6. Masquez les numéros de version

    Désactivez l'affichage des versions (par exemple server_tokens off dans Nginx, expose_php = Off dans PHP).

Questions fréquentes

S'agit-il d'un test d'intrusion ou d'une analyse de vulnérabilités ?

Non. Il vérifie votre configuration HTTPS, votre certificat et vos en-têtes de sécurité — la configuration visible que reçoit n'importe quel navigateur. Il n'essaie pas de trouver ni d'exploiter des vulnérabilités. Pour cela, faites appel à un testeur de sécurité qualifié.

Peut-il me dire si mon site a été piraté ?

Non. Il ne recherche ni logiciels malveillants, ni pages défigurées, ni comptes compromis. Un bon score signifie seulement que les bases de la sécurité de vos échanges sont configurées.

Évalue-t-il la qualité de mes en-têtes ?

Il vérifie surtout la présence de chaque en-tête. Il reconnaît bien une règle CSP frame-ancestors comme protection contre le clickjacking, mais il n'évalue pas la solidité de vos politiques.

Pourquoi HSTS n'est-il pas vérifié sur mon site en HTTP ?

HSTS n'a d'effet qu'en HTTPS. Si votre site n'est pas en HTTPS, c'est le problème le plus important, et c'est lui qui est signalé à la place.

Ajouter des en-têtes de sécurité peut-il casser mon site ?

La plupart des en-têtes peuvent être ajoutés sans risque. Une Content-Security-Policy peut bloquer des scripts, styles ou contenus intégrés dont votre site dépend : testez-la d'abord en mode report-only.

Guides utiles

Outils gratuits associés

Vous préférez qu'on corrige pour vous ?

Ces contrôles sont gratuits, tout comme les guides. Si vous préférez qu'une personne effectue les modifications, notre équipe propose une aide payante.

Voir les options d'aide professionnelleComment nous testons et notonsTous les outils gratuits