Audit de sécurité de site web en 2026 : ce qu’il vérifie, les tests gratuits et son prix

Que vérifie un audit de sécurité de site web ?

Un audit de sécurité répond à trois questions : qui peut entrer, ce qu’un inconnu peut faire du site et en combien de temps vous repartiriez. Les constats suivent l’OWASP Top 10:2025, huitième édition : le contrôle d’accès défaillant reste premier, la mauvaise configuration monte à la deuxième place.

Un bon audit parcourt aussi ce qui n’existe que chez vous, comme les codes promo, les réservations ou les exports de clients, dont aucun scanner ne connaît les règles.

Comment tester la sécurité de son site gratuitement ?

Les outils publics gratuits examinent le site de l’extérieur, vos interfaces d’administration montrent le reste ; ne testez que vos domaines.

1. Testez le HTTPS dans SSL LabsLe SSL Server Test gratuit de Qualys SSL Labs analyse tout serveur HTTPS public. Visez un A ; en dessous, les protocoles sont souvent anciens.
2. Notez les en-têtes avec HTTP ObservatoryHTTP Observatory, sur MDN, part de 100 points et les ajuste selon les redirections, HSTS, Content-Security-Policy et d’autres en-têtes ; un A demande 90.
3. Consultez les listes noiresCherchez le domaine dans l’état des sites de Google Safe Browsing, puis dans VirusTotal, qui interroge plus de 70 antivirus et listes de blocage.
4. Ouvrez la Search ConsoleSon rapport sur les problèmes de sécurité signale piratages et malwares ; un site nettoyé quitte en général la liste de Google sous 24 heures.
5. Passez en revue les administrateursListez les administrateurs du CMS, de l’hébergement, du registraire et du dépôt, supprimez les comptes orphelins et activez la double authentification.
6. Mettez à jour, puis restaurezMettez à jour CMS et extensions, supprimez les inutiles, puis restaurez la sauvegarde d’hier sur une copie de test : seule la restauration prouve qu’elle marche.

Aucun outil ne dira si un client peut ouvrir la commande d’un autre : il faut une personne qui lit droits d’accès et code.

Autodiagnostic : le niveau de protection de votre site

Scan, audit ou test d’intrusion : lequel choisir ?

Un scan est un logiciel qui compare votre site à des problèmes connus ; un audit, un spécialiste qui examine configuration et code selon vos risques ; un test d’intrusion (pentest), une personne qui tente d’entrer dans un périmètre convenu. Le NCSC britannique déconseille d’en faire le moyen principal de trouver les vulnérabilités.

Pourquoi les petits sites se font-ils pirater ?

Surtout par des failles connues restées sans correctif. Le Data Breach Investigations Report 2026 de Verizon, publié le 19 mai 2026, indique que 31 % des violations ont commencé par l’exploitation d’une vulnérabilité, pour la première fois en 19 éditions devant les identifiants volés, et que 48 % impliquaient un tiers.

Patchstack a recensé 11 334 nouvelles vulnérabilités dans l’écosystème WordPress en 2025, soit 42 % de plus qu’en 2024 : 4 124 représentaient une menace réelle et 1 966 étaient de gravité élevée. Les extensions en concentraient 91 %, les thèmes 9 %, et le cœur six failles mineures.

La vitesse compte aussi : dans 46 % des cas, aucun correctif n’existait à la publication de la faille, et les failles les plus exploitées étaient attaquées en cinq heures (médiane pondérée). L’extension ou la page oubliée est la porte habituelle.

Combien coûte un audit de sécurité de site web en 2026 ?

De zéro avec les outils gratuits à des milliers d’euros pour un test d’intrusion manuel. Prix de départ publiés :

Le devis monte avec les rôles, l’accès au code (boîte blanche) et le contre-audit : Kolonell compte 4 000 à 6 000 € HT pour une application web simple à un rôle.

Peut-on tester la sécurité d’un site en toute légalité ?

Oui pour le sien, ou pour celui d’un autre avec son accord écrit, périmètre et dates compris. Sinon, l’article 323-1 du Code pénal punit l’accès frauduleux de trois ans et 100 000 €, cinq ans et 150 000 € si des données sont supprimées ou modifiées.

L’article 32 du RGPD attend des tests réguliers des mesures de sécurité et la capacité de rétablir les données à temps : un audit daté et une sauvegarde testée prouvent votre diligence.

Quand faut-il un prestataire qualifié PASSI ou accrédité ?

Quand quelqu’un d’autre doit s’appuyer sur le rapport. Un audit de studio réduit vos risques, mais ce n’est pas un certificat qu’un régulateur ou un grand client est tenu d’accepter.

• Vous êtes opérateur d’importance vitale, opérateur de services essentiels ou administration : cybermalveillance.gouv.fr oriente vers les PASSI, auditeurs qualifiés par l’ANSSI.
• Un contrat, un appel d’offres ou un auditeur PCI DSS ou ISO 27001 exige un rapport de test d’intrusion indépendant.
• Vous traitez des données de santé, financières ou biométriques, où une seule fuite coûte bien plus qu’un test indépendant.

Pour une PME, le label ExpertCyber, vérifié par un audit AFNOR, repère des professionnels de la sécurisation et de l’assistance. Sinon : tests gratuits, audit avec corrections, puis pentest formel une fois les failles évidentes fermées.