Un audit de sécurité n’est pas un scan automatique qui affiche un score. C’est une lecture complète du site et de son serveur, qui répond à une question simple : par où un attaquant entrerait-il, et est-il déjà entré ? Voici les sept points que nous vérifions, et pour chacun ce que vous pouvez regarder vous-même dès maintenant.
1. Les versions et les vulnérabilités connues
WordPress, le thème, chaque extension, et la version de PHP du serveur, comparés aux bases de vulnérabilités publiques. Vous-même : Tableau de bord > Mises à jour, et Outils > Santé du site. Une extension non mise à jour depuis des mois est le premier suspect.
2. Le code malveillant et les fichiers modifiés
Comparaison des fichiers de WordPress, du thème et des extensions avec leurs versions d’origine, recherche de fichiers PHP dans les dossiers d’images, de redirections cachées, de portes dérobées. Vous-même : dans Google, tapez « site:votredomaine.fr » et regardez s’il affiche des pages que vous n’avez pas créées.
3. Les comptes et les mots de passe
Liste des administrateurs, comptes inconnus ou inactifs, mots de passe faibles ou réutilisés, double authentification absente. Vous-même : Comptes > Tous les comptes, filtre Administrateur. Chaque nom doit vous dire quelque chose.
4. Le serveur
Version de PHP supportée, droits des fichiers, édition de code désactivée, HTTPS forcé, en-têtes de sécurité, pare-feu applicatif, protection contre la force brute. Vous-même : ouvrez votre site en http:// et vérifiez qu’il bascule en https://.
5. Les sauvegardes
Existent-elles, où sont-elles (sur le serveur, ce n’est pas une sauvegarde), à quelle fréquence, et peut-on les restaurer ? Nous testons une restauration. Vous-même : demandez à votre hébergeur où est la dernière sauvegarde et de quand elle date.
6. Les listes noires
Google Safe Browsing, listes antispam, réputation du nom de domaine et de l’adresse IP. Un site inscrit sur une liste noire perd ses visiteurs et ses e-mails sans le savoir. Vous-même : Google Search Console, rubrique Sécurité et actions manuelles.
7. La réputation des e-mails
Enregistrements SPF, DKIM et DMARC, et volume d’envoi anormal depuis le serveur : un site piraté envoie souvent du spam avant de montrer autre chose. Vous-même : envoyez-vous un e-mail depuis le site et vérifiez qu’il n’arrive pas en spam.
Le rapport, et après
L’audit se termine par un rapport lisible par un non-technicien, classé par urgence, et une restitution de 30 minutes. Il coûte 290 € HT, et son montant est déduit si vous commandez ensuite la protection (390 € HT) ou le nettoyage (440 € HT) dans les 30 jours. Il est sur la page Hébergement et maintenance web, onglet Cybersécurité.
