Un après-midi, un client ébéniste m'appelle, la voix blanche. Son site vitrine affichait une page de rançon depuis le matin. Quatre ans de photos de ses meubles, envolés. Sa sauvegarde ? Un plugin installé en 2021, jamais testé, qui écrivait sur le même disque que le site. Bref, aucune sauvegarde.
Ce jour-là, j'ai compris quelque chose que je répète depuis à chaque petit patron que je croise : un site WordPress oublié est une porte d'entrée, et personne ne vous préviendra qu'elle est ouverte. Pas de gardien. Pas de serrurier. Juste un robot qui scanne des milliers de sites par nuit et qui trouve le vôtre parce que votre thème n'a pas été mis à jour depuis huit mois.
Dans cet article, je vous explique comment faire un audit sécurité site web petites entreprises sans y passer trois semaines ni y laisser un billet de 5 000 euros. Du concret, des outils gratuits, des fourchettes de prix réelles et les conneries que j'ai moi-même commises.
Points clés à retenir
- Un audit de site web n'est pas qu'un scan technique : il croise sécurité, performance, accessibilité et parcours client.
- Pour une TPE, l'essentiel se joue sur 5 contrôles : mises à jour, sauvegardes testées, en-têtes HTTP, formulaires, comptes utilisateurs.
- Comptez 0 € en autonomie avec des outils gratuits, ou de quelques centaines à quelques milliers d'euros avec un prestataire selon le périmètre.
- Un site vitrine et un site e-commerce ne demandent pas le même niveau d'audit (ni le même budget).
- La sauvegarde non testée est le piège numéro un des petites structures.
Comment faire l'audit d'un site web quand on est une petite entreprise
La première fois que j'ai voulu auditer mon propre site, j'ai téléchargé trois extensions « sécurité » d'un coup. Résultat : le site est tombé. Deux extensions se battaient pour le même fichier. Voilà mon niveau de départ.
Un audit de site, dans l'idée, c'est prendre du recul sur son fonctionnement et analyser ses performances pour repérer forces et faiblesses, puis en tirer des axes d'amélioration concrets. Un bon audit ne se limite pas au technique : il regarde aussi d'où vient le trafic, ce que font réellement les visiteurs, si le parcours mène bien à la transformation attendue, sans oublier l'accessibilité et la pollution numérique (le poids des pages, les scripts inutiles).
Les six angles d'un audit complet
- Technique : le socle est-il fiable ? Serveur, CMS, plugins, certificat, vitesse.
- Captation de trafic : d'où viennent les visiteurs, et pourquoi certains arrivent sans que vous l'ayez voulu.
- Parcours client : les usages réels correspondent-ils à votre stratégie ?
- Transformation : les formulaires, boutons et pages de contact convertissent-ils ?
- Accessibilité : contrastes, textes alternatifs, navigation au clavier.
- Pollution numérique : un site trop lourd coûte cher en énergie et en patience.
Pour une TPE, je conseille franchement de commencer par les angles 1 et 4. Les autres viendront après. Un site qui ne convertit pas mais qui est sécurisé, c'est mieux qu'un site qui convertit et qui se fait pirater, mais l'inverse est aussi vrai. Trouvez votre équilibre.
Comment puis-je réaliser un audit de sécurité informatique ?
Vous pouvez le faire vous-même, à condition d'accepter deux choses : que ce ne sera pas exhaustif, et que vous allez devoir apprendre à lire des rapports un peu barbares. Le principe est simple — vous vérifiez les points d'entrée les plus évidents, dans l'ordre où un attaquant les regarderait.
Les cinq contrôles à faire en priorité
- Les mises à jour. CMS, thème, plugins, PHP. Un plugin abandonné depuis deux ans, c'est une porte laissée ouverte avec le panneau « entrez ».
- Les sauvegardes, testées. Une sauvegarde que vous n'avez jamais restaurée n'est pas une sauvegarde, c'est une promesse. Restaurez-en une une fois par trimestre, sur un environnement de test.
- Les en-têtes HTTP et le HTTPS. Vérifiez que le certificat est valide et à jour, et que les en-têtes de sécurité (Content-Security-Policy, HSTS, X-Frame-Options) sont bien envoyés.
- Les formulaires. Un formulaire de contact sans protection anti-spam correctement configurée est un canal d'injection potentiel.
- Les comptes utilisateurs. Un compte administrateur « admin » avec le mot de passe « admin123 », j'en vois encore. Supprimez les comptes inactifs, activez la double authentification.
Sur ce dernier point, je plaide coupable. Mon premier site professionnel avait un compte admin dont le mot de passe était le nom de mon chat. Le chat s'appelait « Cookie ». Je vous laisse deviner.
Ce que l'auto-audit ne verra pas
Un scan gratuit vous dira si vos en-têtes sont bons et si votre version de WordPress est à jour. Il ne vous dira pas si votre page de paiement est vulnérable à une injection, ni si un utilisateur peut accéder aux données d'un autre en modifiant simplement un identifiant dans l'URL. Ça, c'est du test d'intrusion, et ça demande un humain. Pour une TPE sans e-commerce ni données sensibles, l'auto-audit suffit souvent. Pour une boutique en ligne qui encaisse des cartes, non.
Quels sont les outils d'audit de sécurité de sites web les plus courants ?
Il y a deux familles : les outils qui scannent et ceux qui vous aident à comprendre. Les deux servent.
| Outil | Type | Ce qu'il vérifie | Niveau |
|---|---|---|---|
| Qualys SSL Labs | Gratuit | Configuration SSL/TLS, certificats | Débutant |
| Security Headers | Gratuit | En-têtes HTTP de sécurité | Débutant |
| WPScan | Gratuit (freemium) | Vulnérabilités WordPress, plugins, thème | Intermédiaire |
| OWASP ZAP | Gratuit | Scan de vulnérabilités web (injections, XSS, etc.) | Intermédiaire |
| Nmap | Gratuit | Ports ouverts, services exposés | Confirmé |
| Burp Suite | Freemium / payant | Tests d'intrusion manuels | Expert |
Mon conseil : commencez par SSL Labs et Security Headers. Les deux sont gratuits, en ligne, et vous donnent une note en cinq minutes. Si vous avez déjà un « A » partout, passez à WPScan (si vous êtes sur WordPress) ou à ZAP. Le reste, c'est pour les prestataires.
Spoiler : la première fois que j'ai lancé ZAP sur mon site, il m'a sorti une liste de 47 alertes. J'ai cru que j'allais fermer boutique. En fait, une bonne partie était du bruit (des faux positifs, des headers manquants sans vrai impact). Le métier, c'est de trier. Un bon audit ne consiste pas à empiler des alertes, mais à dire : voilà ce qui est grave, voilà ce qui peut attendre.
Quel est le prix d'un audit de sécurité informatique ?
La question qu'on me pose à chaque fois, et la réponse honnête est : ça dépend du périmètre. Mais je peux vous donner des ordres de grandeur que j'ai vus passer en facture.
Les fourchettes que je constate
- Auto-audit : 0 €, deux à quatre heures de votre temps.
- Audit de site vitrine par un indépendant : quelques centaines d'euros, généralement entre 300 et 800 € selon la profondeur (scan, en-têtes, CMS, rapport écrit).
- Audit d'un site e-commerce : plus cher, souvent entre 1 000 et 2 500 €, parce qu'il faut tester les paiements, les comptes clients, la gestion des données.
- Test d'intrusion complet : plusieurs milliers d'euros selon la taille, réservé aux sites qui manipulent des données sensibles ou de l'argent.
Attention au piège classique : un prestataire qui vous propose un « audit complet » à 200 euros. Soit il a un outil automatique, soit il survole. Un vrai audit, avec lecture de code et tests manuels, ça prend du temps. J'ai fait l'erreur une fois de payer pour un audit à 150 euros : j'ai reçu un PDF de 12 pages généré automatiquement, sans une seule ligne d'analyse. Total waste of time — enfin, façon de parler, puisque j'avais payé.
Ce qui fait vraiment varier le prix
Trois facteurs : la taille du site (nombre de pages, de formulaires, de plugins), le niveau de profondeur (scan automatique vs test manuel), et le livrable (une liste d'alertes ou un plan d'action priorisé). Le dernier point est celui qu'on oublie. Un audit sans plan d'action hiérarchisé, c'est un diagnostic sans ordonnance. Vous savez que vous êtes malade, mais pas par quoi commencer.
Le plan que je conseille à toute petite entreprise
Après plusieurs années à voir des sites de TPE tomber les uns après les autres, j'en suis venu à un plan simple, que j'applique même à mon propre site aujourd'hui.
- Un scan gratuit tous les mois (SSL Labs + Security Headers). Cinq minutes.
- Une mise à jour des plugins et du thème toutes les deux semaines. Sans exception.
- Une restauration de sauvegarde testée tous les trimestres. Chrono en main.
- Une revue des comptes utilisateurs tous les six mois. Supprimez ce qui ne sert plus.
- Un audit complet par un prestataire ou par vous-même une fois par an, avec un rapport écrit.
Ce plan m'a coûté la bagatelle de 0 euro en outils et environ trois heures par trimestre. Sur les deux dernières années, il m'a évité au moins une tentative d'intrusion sérieuse que j'ai pu tracer dans les logs — un robot qui testait les identifiants par défaut sur /wp-login.php à raison de plusieurs centaines de tentatives par nuit. La double authentification l'a bloqué net.
Et là, franchement, on touche à quelque chose qui me tient à cœur : la sécurité d'un site de TPE n'a rien de glamour. Personne n'en parle en soirée. Mais un site qui tombe, c'est un carnet de commandes qui s'arrête, des clients qui ne vous trouvent plus, et parfois une réputation qui prend l'eau. Le jour où l'ébéniste a récupéré ses photos grâce à un disque dur externe qu'il avait par chance branché le mois précédent, il m'a dit : « j'aurais dû vous écouter il y a deux ans ». Il avait raison. Vous aussi, vous pouvez m'écouter maintenant.
Une dernière chose. Un audit, ce n'est pas un examen qu'on passe une fois. C'est un rythme. Le site change, les plugins évoluent, les menaces aussi. Alors posez-vous la question, là, tout de suite : quand avez-vous testé votre dernière sauvegarde ?
