atelier-exemple.qc.ca
Données entièrement fictives (site inventé, pas une entreprise réelle). La structure, les sévérités et les textes de constats sont les mêmes que dans un rapport payant.
Scan d'exemple du 12 septembre 2026 à 14 h 30.
Score de sécurité
40 / 100
Beaucoup de problèmes visibles. Un accompagnement technique est recommandé.
Le site a plusieurs points à corriger rapidement : un fichier secret est visible, le logiciel n'est pas à jour, et quelques protections courriel et HTTPS manquent.
Fichier .env accessible publiquement
Un fichier de configuration est accessible à tout le monde. Il peut contenir des mots de passe de votre site.
À faire : Demandez à votre hébergeur ou développeur de retirer ce fichier du site public et de changer les mots de passe concernés.
Votre site utilise WordPress 5.8, une version plus récente 7.1.1 est disponible et corrige des failles de sécurité connues
Votre WordPress n'a pas reçu les mises à jour de sécurité. Les versions plus anciennes sont plus faciles à attaquer.
À faire : Faites une sauvegarde, puis installez les mises à jour depuis le tableau de bord WordPress.
Enregistrement SPF manquant
Rien n'empêche quelqu'un d'envoyer des courriels en se faisant passer pour votre entreprise.
À faire : Ajoutez l'enregistrement SPF fourni par Gmail, Microsoft 365 ou votre hébergeur courriel.
En-tête Strict-Transport-Security (HSTS) manquant
Le site n'oblige pas le navigateur à rester en connexion sécurisée. Un visiteur pourrait être redirigé vers une version non protégée.
À faire : Demandez d'activer HSTS dans la configuration HTTPS de l'hébergement.
Bibliothèque JavaScript jQuery 1.12.4 vulnérable (CVE-2020-11022 / CVE-2020-11023)
Une ancienne bibliothèque JavaScript est chargée sur le site. Elle a des failles connues.
À faire : Mettez jQuery à jour, ou passez à un thème qui fournit une version récente.
Élevée· logiciel
WordPress 5.8 a été lu sur une information déjà publique (page d'accueil). La version stable connue au moment de cet exemple est 7.1.1. Les versions plus anciennes ne reçoivent plus tous les correctifs.
Recommandation : Dans WordPress, ouvrez Tableau de bord → Mises à jour, puis installez la mise à jour du cœur. Faites une sauvegarde juste avant.
Élevée· courriel
Sans enregistrement SPF, n'importe qui pourrait envoyer des courriels en se faisant passer pour votre entreprise. Les boîtes de réception n'ont alors aucun moyen simple de savoir si le message vient vraiment de vous.
Recommandation : Chez votre registraire ou votre hébergeur courriel, ajoutez un enregistrement TXT SPF (commençant par v=spf1) fourni par Gmail, Microsoft 365 ou votre fournisseur, et terminez-le par -all.
Conforme· listes noires
L'adresse n'apparaît pas dans les listes noires Google (Web Risk / Safe Browsing, source : Google) au moment de cet exemple. Cela ne prouve pas que le site est sain : d'autres listes existent.
Recommandation : Gardez WordPress, les extensions et l'hébergement à jour. Si un client signale un avertissement navigateur, relancez un scan.
Moyenne· faille connue
jQuery 1.12.4 est chargé publiquement. Les versions inférieures à 3.5.0 ont des failles documentées. Un visiteur malveillant peut en tirer parti (souvent du script injecté dans la page).
Recommandation : Mettez jQuery à jour vers 3.5.0 ou plus récent, ou remplacez-le par la version fournie par un thème maintenu.
Critique· fichiers exposés
Un fichier .env est téléchargeable. Il contient souvent des mots de passe et des clés API en clair.
Recommandation : Retirez immédiatement le fichier du répertoire public, faites tourner les secrets exposés, et bloquez l'accès aux fichiers point (règle serveur / .gitignore).
Conforme· certificat
La page est servie en HTTPS et les images, scripts, feuilles de style et iframes lus dans le HTML n'utilisent pas d'adresse http://.
Recommandation : Gardez toutes les ressources en HTTPS. Un thème ou un plugin peut réintroduire du HTTP plus tard.
Conforme· cookies
La réponse HTTPS de la page d'accueil n'inclut pas d'en-tête Set-Cookie. D'autres pages (connexion, boutique) peuvent quand même poser des cookies.
Recommandation : Quand vous ajoutez une session ou un bandeau, posez les cookies avec Secure, HttpOnly et SameSite=Lax.
Conforme· domaine
La date d'expiration a été lue dans le registre public (RDAP, successeur du WHOIS). Plus de 60 jours restent avant l'échéance.
Recommandation : Gardez le renouvellement automatique activé pour éviter un oubli.
Élevée· en-têtes
Sans HSTS, un visiteur peut être redirigé vers HTTP lors d'une première visite ou d'une attaque de rétrogradation TLS.
Recommandation : Ajoutez Strict-Transport-Security: max-age=15552000; includeSubDomains (augmentez ensuite max-age une fois le HTTPS stable).
Le score part de 100. Chaque constat retire des points : critique −25, élevé −10, moyen −5, faible −1. Une mention « conforme » ne retire rien. Le résultat (0 à 100) est converti en lettre : A (90–100), B (80–89), C (70–79), D (60–69), E (40–59), F (0–39).