Pourquoi scanner son site — et le faire régulièrement

Mon site est petit, pourquoi quelqu'un s'y intéresserait?

La grande majorité des attaques contre les sites de PME ne viennent pas d'une personne qui cible spécifiquement votre entreprise. Elles viennent de programmes automatisés qui scannent en continu des millions de sites à la recherche de failles connues — un logiciel obsolète, un plugin non mis à jour, une configuration mal sécurisée. Ces robots ne font pas de distinction entre un grand détaillant et un petit commerce local : ils cherchent des portes ouvertes, peu importe la taille du bâtiment. Un site vulnérable est trouvé, pas ciblé.

J'ai fait scanner mon site, c'est fait pour de bon?

La sécurité d'un site n'est pas un état permanent, c'est une photo prise à un moment précis. Un site parfaitement sécuritaire aujourd'hui peut devenir vulnérable dans quelques semaines sans qu'aucun changement n'ait été fait de votre côté : une nouvelle faille est découverte dans un logiciel que vous utilisez, un certificat de sécurité arrive à échéance, une mise à jour automatique d'un plugin introduit un bug de sécurité. C'est pour cette raison qu'une surveillance continue a plus de valeur qu'un scan ponctuel : elle détecte les nouveaux problèmes au moment où ils apparaissent, pas des mois plus tard.

Voir la surveillance continue

Qu'est-ce qui peut vraiment arriver si je ne fais rien?

• Mise en liste noire par Google Safe Browsing : si votre site est compromis et utilisé pour distribuer du contenu malveillant, les navigateurs affichent un avertissement à vos visiteurs avant même qu'ils accèdent à votre page. Le trafic chute immédiatement, et retirer un site d'une liste noire peut prendre plusieurs semaines.
• Interruption de service : un site compromis peut être rendu inaccessible, corrompu, ou détourné. Pour un commerce qui dépend de son site pour vendre ou prendre des rendez-vous, chaque heure d'arrêt est une perte de revenu directe.
• Fuite de données clients : si votre site recueille des informations personnelles (courriels, adresses, informations de paiement), une brèche vous expose à des obligations légales de divulgation en vertu de la Loi 25 au Québec, incluant potentiellement d'aviser la Commission d'accès à l'information et vos clients eux-mêmes.
• Coût de récupération : corriger un site après une attaque coûte systématiquement plus cher, en temps et en argent, que de prévenir le problème avant qu'il survienne.

Qu'est-ce que ScanMonSite vérifie exactement?

Plutôt qu'une liste technique, voici ce que chaque type de vérification signifie concrètement pour votre site :

• Logiciels et plugins obsolètes → Une porte laissée ouverte que les attaquants automatisés cherchent activement, parce que les failles des vieilles versions sont publiquement connues. ScanMonSite repère notamment un WordPress périmé et des bibliothèques JavaScript connues pour des failles.
• Configuration des courriels (SPF, DKIM, DMARC) → Sans ces protections, des personnes malveillantes peuvent envoyer des courriels en se faisant passer pour votre entreprise, ce qui nuit à votre réputation et peut faire bloquer vos propres courriels légitimes.
• Présence sur des listes noires → Vérifie si votre domaine est déjà signalé comme suspect (Google Safe Browsing), ce qui affecte directement votre référencement et la confiance des visiteurs.
• Fichiers exposés → Des documents ou dossiers qui ne devraient jamais être accessibles publiquement (sauvegardes, fichiers de configuration) mais qui le sont par erreur.
• Certificat et expiration du domaine → Un oubli de renouvellement du certificat HTTPS ou du nom de domaine peut rendre votre site complètement inaccessible du jour au lendemain.
• En-têtes de sécurité → Des consignes manquantes (par exemple HSTS ou une politique de contenu) facilitent certains détournements du navigateur. Ce n’est pas une intrusion : on lit seulement ce que le serveur annonce déjà.
• Contenu mixte → Des images ou scripts encore chargés en HTTP sur une page HTTPS. Le navigateur peut les bloquer, ou afficher un site « pas entièrement sécurisé ».
• Cookies → Des témoins de connexion mal protégés (attributs de sécurité absents) peuvent être plus faciles à voler. On ne lit que les cookies publics de la page d’accueil.

Un contrôle complémentaire (Nuclei, toujours en mode passif) peut s’ajouter ensuite. Il ne tente pas d’entrer dans le site.

Détail méthodologique : comment le scan travaille, et ses limites.