Audit de votre site web :
la sécurité d'abord

Mis à jour le 15/10/2026

Des robots poussent les portes de votre site, jour et nuit. J'en fais le tour, de l'extérieur : sécurité, Google et IA, vitesse, accessibilité.

499 € TTC

Commander l'audit – 499 €

Rapport livré sous 48 h ouvrées. Chaque constat repose sur une mesure réelle, que vous pouvez vérifier vous-même.

Une question avant de commander ? Écrivez-moi

7 piliers

notés, sécurité en tête

48 h

délai de livraison (jours ouvrés)

5 actions

prioritaires, avec le temps estimé

0 accès

demandé : l'adresse suffit

Pour qui ?

Vous ne savez pas si votre site est exposé au piratage, ni par où commencer.
Vous avez fait les trois tests ci-dessous et une porte est restée ouverte.
Plus personne ne s'occupe des mises à jour de votre site depuis sa mise en ligne.
Votre site existe depuis des mois mais vous apporte peu de contacts, sur Google comme dans les réponses des IA.
Vous voulez investir au bon endroit et dans le bon ordre, avant une refonte par exemple, avec des constats que votre prestataire pourra vérifier.

Pourquoi la sécurité passe en premier

La sécurité ne remplace pas le référencement : elle le protège. Votre place sur Google, la confiance de vos visiteurs et celle de vos clients reposent sur un site sain et sur une adresse e-mail fiable. Un piratage peut toucher les trois à la fois.

Vos visiteurs

Quand Google estime qu'un pirate a modifié un site, il peut afficher « Il est possible que ce site ait été piraté » dans ses résultats, et il conseille de ne pas le visiter tant que le message reste affiché. Le navigateur peut aussi montrer une page d'alerte à ceux qui tentent d'y accéder.

Vos clients et vos paiements

La fraude au faux RIB part le plus souvent d'une boîte mail piratée, la vôtre ou celle de votre client : l'escroc se fait passer pour vous et annonce un changement de coordonnées bancaires. Selon les cas, vous n'êtes pas payé, ou votre client paie deux fois. Des mots de passe uniques et la double authentification sur la messagerie réduisent ce risque ; un nom de domaine protégé aide en plus à écarter les e-mails qui imitent votre adresse. Et une simple vérification auprès du fournisseur, avant de payer sur un nouveau RIB, permet d'éviter ce type de fraude.

Sources : Aide Recherche Google · Aide Search Console · Cybermalveillance.gouv.fr, rapport d'activité 2025, p. 53

Ce que je vérifie, et comment le vérifier vous-même

Les trois premiers tests se font en 2 minutes, depuis votre téléphone : essayez-les sur votre site.

La porte d'entrée

Votre site force-t-il la connexion sécurisée (HTTPS) ? Son certificat est-il valide, et jusqu'à quand ?

Test 1 : tapez http://votresite.fr, sans « s ». L'adresse doit basculer seule en https. Si elle reste affichée « Non sécurisé », la porte est ouverte. Les navigateurs récents tentent parfois d'eux-mêmes la version https : pour un test qui ne dépend pas du navigateur, sur httpstatus.io, l'adresse en http doit afficher une redirection permanente (code 301 ou 308) vers https.

Ce que votre site laisse voir

Versions de logiciels affichées et connues pour leurs failles, liste des comptes publiée, fichiers sensibles ou dossiers ouverts. Je compare ces versions aux failles publiées ; je n'en exploite aucune.

Test 2 (WordPress) : tapez votresite.fr/wp-json/wp/v2/users. Si des noms s'affichent, tout le monde voit vos comptes, souvent avec leur nom de connexion. Une page d'erreur : cette porte est fermée.

Votre nom contre les faux e-mails

Les réglages SPF, DKIM et DMARC de votre nom de domaine disent aux messageries quoi faire d'un e-mail envoyé « de votre part » sans votre autorisation.

Test 3 : sur mxtoolbox.com, outil DMARC, tapez votre nom de domaine. Si vous lisez p=none, ou si rien n'est trouvé, rien ne demande aux messageries d'écarter un faux e-mail envoyé en votre nom. Même bien réglé, DMARC protège votre nom, pas votre boîte mail : celle-ci se protège avec des mots de passe uniques et la double authentification.

Les protections du navigateur

Votre serveur peut donner au navigateur six consignes de protection, les en-têtes de sécurité. Elles empêchent par exemple d'afficher votre site à l'intérieur d'une page piégée.

À vérifier : sur securityheaders.com.

Les cookies posés avant l'accord du visiteur

Des traceurs (statistiques, publicité, vidéos) se chargent-ils avant que le visiteur ait cliqué sur « Accepter » ? Je le contrôle avec un navigateur vierge.

Ce que je ne vois pas de l'extérieur

Vos sauvegardes, la double authentification de vos comptes, vos mots de passe, la liste complète de vos extensions, un piratage déjà en cours. Je les liste dans le rapport, à vérifier avec vous ou votre prestataire.

Depuis vos accès : la rubrique « Problèmes de sécurité » de votre Search Console.

Mon propre site passe ces trois tests : vous pouvez le vérifier.

Ma règle : dans le rapport, une porte réellement ouverte (une version connue pour ses failles, des comptes affichés publiquement, une adresse e-mail facile à usurper…) passe en tête des priorités, avant les gains de visibilité.

La bonne nouvelle : la plupart de ces portes se ferment en quelques heures, sans reconstruire le site.

Commander l'audit

Ce qui est analysé : 7 piliers, la sécurité en premier

Sécurité — ce qui se voit de l'extérieur : chiffrement, protections du navigateur, versions connues pour leurs failles, comptes ou fichiers exposés, protection de votre nom contre les faux e-mails, cookies posés avant l'accord du visiteur.
SEO technique — ce que Google peut explorer et indexer : redirections, page de référence de chaque contenu, plan du site, fichier robots.txt, pages en erreur et liens cassés.
Contenu des pages — titres, descriptions, intertitres, textes alternatifs des images, pages trop minces, liens entre vos pages, et informations qui se contredisent d'une page à l'autre.
Référencement local — votre fiche Google publique, la cohérence de vos nom, adresse et téléphone entre le site, Google et les annuaires, et un relevé daté de votre position dans Google Maps, donné à titre indicatif.
Visibilité dans les IA — ChatGPT, Gemini ou Perplexity peuvent-ils comprendre et citer votre entreprise ? Accès des robots d'IA, fichier llms.txt (une présentation destinée aux IA), données structurées, informations cohérentes, et un test daté de quelques recherches réelles.
Vitesse sur mobile — l'outil de mesure de Google (Lighthouse) sur votre accueil, en mobile et sur ordinateur, et sur une page interne, puis la cause de chaque lenteur : images trop lourdes, fichiers qui bloquent l'affichage, scripts tiers, serveur.
Accessibilité — contrastes, boutons et liens sans nom, champs de formulaire sans libellé, textes alternatifs : les défauts relevés par les tests automatiques. Ils ne couvrent qu'une partie des règles, et le rapport le précise.

Comment je travaille

Je mesure. L'outil de mesure de Google (Lighthouse), les en-têtes de sécurité, les enregistrements DNS publics, le plan du site et le code source d'un échantillon de pages. Sans accès à votre Search Console ni à vos statistiques, je n'avance aucun chiffre de trafic.
Je croise, puis je vérifie. Je soumets ces mesures à 4 IA (ChatGPT, Gemini, Perplexity et Claude) pour élargir les pistes. Aucune piste n'entre dans le rapport sans avoir été vérifiée ; celles que j'écarte sont listées.
Je reste à l'extérieur. Je consulte votre site comme pourrait le faire n'importe quel visiteur ou robot, sans aucune tentative d'intrusion. Si votre pare-feu réagit à certaines vérifications, je l'écris dans le rapport.
Je vous donne de quoi vérifier. La dernière page du rapport, « Sources & vérification », indique pour chaque constat l'outil public ou l'adresse à taper. Ce qui demande vos accès est listé à part. Les fichiers de mesure bruts sont disponibles sur demande.

Qui fait l'audit ? Moi, Hakim Snoussi, depuis Amiens : 11 ans d'informatique bancaire pour la Caisse d'Épargne de Picardie, dont 7 comme développeur applicatif, puis 13 ans à diriger mes propres entreprises. Aujourd'hui, je développe des sites et des applications sur mesure. Mon parcours détaillé.

Livrables

Un rapport PDF d'une dizaine de pages, lisible sans être technicien.
Une synthèse d'une page : une note par pilier, le constat en une phrase, les points à retenir et vos atouts.
Pour chaque constat : ce qui a été mesuré, ce que ça change pour vous, la correction et sa priorité, de P0 (à corriger tout de suite) à P3 (confort).
Les 5 actions qui comptent le plus, avec le temps estimé pour chacune.
La liste de ce qui ne se mesure pas de l'extérieur, à vérifier depuis vos accès.
Une page « Sources & vérification » pour tout recouper vous-même ; les mesures brutes sur demande.
Si vous le souhaitez, un devis pour les corrections, en lien avec votre prestataire actuel si vous en avez un.
En option : une restitution en visio de 45 à 60 minutes pour parcourir le rapport ensemble et répondre à vos questions.

Questions fréquentes

En combien de temps l'audit de site web est-il livré ?

Sous 48 h ouvrées (deux jours ouvrés) après le paiement et la réception de l'adresse de votre site. Il me faut seulement cette adresse : aucun accès, aucun mot de passe. Vous recevez un rapport PDF d'une dizaine de pages.

Allez-vous attaquer mon site pour tester sa sécurité ?

Non. L'audit se fait de l'extérieur, comme le ferait un visiteur ou un moteur de recherche : aucune tentative d'intrusion, aucun mot de passe essayé, aucune faille exploitée. Ce n'est donc pas un test d'intrusion. Certaines vérifications ressemblent à celles des robots, par exemple demander une adresse sensible pour voir si elle répond : si votre pare-feu réagit, je l'indique dans le rapport.

Mon site est sur WordPress, Wix ou Shopify : pouvez-vous l'auditer ?

Oui. Je mesure ce que votre site montre de l'extérieur, quelle que soit la plateforme. Sur WordPress, j'ajoute les contrôles propres à ce système : liste des comptes visible, accès xmlrpc (une ancienne porte d'accès à distance), versions des extensions. Si un réglage dépend de votre hébergeur ou de votre plateforme plutôt que de vous, je le précise.

Que contient le rapport d'audit ?

Le rapport couvre 7 piliers : sécurité, SEO technique, contenu des pages, référencement local, visibilité dans les IA, vitesse sur mobile et accessibilité. Chaque pilier a une note. Chaque constat indique la mesure, ce que ça change pour vous, la correction et sa priorité, de P0 (à corriger tout de suite) à P3 (confort). Le rapport se termine par les 5 actions prioritaires avec leur temps estimé, ce qui ne se mesure pas de l'extérieur, et les sources pour tout vérifier vous-même.

Mon site a peut-être été piraté : l'audit peut-il le dire ?

Pas de façon fiable : l'audit repère les portes ouvertes, il ne recherche pas un piratage déjà en cours, ce qui demande d'accéder au serveur (fichiers, comptes, journaux). Vous pouvez déjà vérifier deux choses vous-même : l'état de votre site dans l'outil de navigation sécurisée de Google (transparencyreport.google.com/safe-browsing/search) et la rubrique « Problèmes de sécurité » de votre Search Console, si vous y avez accès.

L'audit inclut-il les corrections ?

Non : l'audit est un diagnostic, fait de l'extérieur et sans accès à votre site. Les corrections peuvent être faites par votre équipe, par votre prestataire actuel ou par moi, sur devis. C'est la différence avec l'optimisation SEO à 299 € : là, avec un accès administrateur à votre site, j'applique moi-même les corrections de référencement et de vitesse. Bonne nouvelle : la plupart des portes ouvertes se ferment en quelques heures, sans reconstruire le site.

Y a-t-il une restitution en visio ?

Oui, en option. Une session de restitution de 45 à 60 minutes peut être ajoutée pour parcourir le rapport ensemble et répondre à vos questions.

Forfait de 499 € TTC pour un site jusqu'à 50 pages. Au-delà, devis sur mesure. Il me faut seulement l'adresse de votre site : livraison sous 48 h ouvrées après le paiement et la réception de cette adresse.