Audit de sécurité site web : guide complet 2025

43% des cyberattaques ciblent les sites web. Les vulnérabilités les plus courantes (injection SQL, XSS, CSRF) sont présentes sur 70% des sites non audités. Un audit de sécurité régulier est indispensable.

Voici comment auditer la sécurité de votre site web.

Pourquoi un audit de sécurité ?

Risques d'un site non sécurisé

Piratage :

• Défacement (modification page d'accueil)
• Injection malware
• Phishing hébergé
• Ransomware

Coût moyen : 50 000-200 000 €

Fuite de données :

• Base clients exposée
• Données personnelles volées
• Amende RGPD : jusqu'à 20 M€

SEO :

• Blacklist Google
• Perte de positions
• Désindexation

Réputation :

• Perte de confiance
• Clients perdus
• Image dégradée

Fréquence recommandée

Audit complet :

• Nouveau site : Avant mise en ligne
• Site existant : Annuel
• Après modification majeure

Scan automatique :

• Hebdomadaire
• Monitoring continu

Méthodologie d'audit

Phase 1 : Reconnaissance (OSINT)

Objectif : Collecter informations publiques

Actions :

1. Whois

whois example.com

• Propriétaire domaine
• Serveurs DNS
• Date expiration

2. DNS

dig example.com ANY
nslookup example.com

• Enregistrements A, MX, TXT
• Sous-domaines
• Configuration SPF, DMARC

3. Technologies utilisées

Outils :

• Wappalyzer (extension)
• BuiltWith
• WhatRuns

Identifier :

• CMS (WordPress, Drupal)
• Frameworks (React, Laravel)
• Serveur (Apache, Nginx)
• Langages (PHP, Node.js)
• Versions (vulnérabilités connues)

4. Sous-domaines

Outils :

• Sublist3r
• Amass
• DNSdumpster

Recherche :

• Sous-domaines oubliés
• Environnements de test exposés
• Anciennes versions

Phase 2 : Scan de vulnérabilités

Outils automatisés :

1. OWASP ZAP (gratuit)

• Scan automatique
• Proxy intercepteur
• Détection vulnérabilités OWASP Top 10

2. Nikto (gratuit)

nikto -h https://example.com

• Scan serveur web
• Fichiers sensibles
• Configurations dangereuses

3. Nmap

nmap -sV -sC example.com

• Ports ouverts
• Services exposés
• Versions logiciels

4. WPScan (WordPress)

wpscan --url https://example.com --enumerate vp,vt,u

• Plugins vulnérables
• Thèmes vulnérables
• Utilisateurs

5. Qualys SSL Labs

• URL : ssllabs.com/ssltest
• Configuration SSL/TLS
• Certificat
• Note A+ recommandée

Phase 3 : Tests manuels (OWASP Top 10)

1. Injection SQL

Test :

' OR '1'='1
'; DROP TABLE users--

Vérifier :

• Formulaires
• Paramètres URL
• Headers HTTP

Protection :

• Requêtes préparées
• ORM (Eloquent, Prisma)
• Validation entrées

2. Broken Authentication

Test :

• Brute force login
• Session fixation
• Tokens prévisibles

Vérifier :

• Politique mots de passe
• Limitation tentatives
• Expiration sessions
• MFA disponible

3. Sensitive Data Exposure

Test :

• HTTPS partout ?
• Cookies sécurisés ?
• Données sensibles en clair ?

Vérifier :

Set-Cookie: session=abc; Secure; HttpOnly; SameSite=Strict

4. XML External Entities (XXE)

Test :

<?xml version="1.0"?>
<!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]>
<foo>&xxe;</foo>

Protection :

• Désactiver entités externes
• Parser XML sécurisé

5. Broken Access Control

Test :

• Accès ressources sans auth
• Élévation de privilèges
• IDOR (Insecure Direct Object Reference)

Exemple IDOR :

/user/123/profile → /user/124/profile (accès profil autre utilisateur)

6. Security Misconfiguration

Vérifier :

• Erreurs détaillées exposées
• Comptes par défaut actifs
• Services inutiles activés
• Headers sécurité manquants

Headers recommandés :

X-Frame-Options: DENY
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Strict-Transport-Security: max-age=31536000
Content-Security-Policy: default-src 'self'

7. Cross-Site Scripting (XSS)

Test :

<script>alert('XSS')</script>
<img src=x onerror=alert('XSS')>

Types :

• Reflected (URL)
• Stored (base de données)
• DOM-based

Protection :

• Échappement sorties
• Content Security Policy
• Validation entrées

8. Insecure Deserialization

Test :

• Manipulation objets sérialisés
• Injection code

Protection :

• Validation signatures
• Pas de désérialisation données non fiables

9. Using Components with Known Vulnerabilities

Vérifier :

• Versions CMS, plugins, librairies
• CVE connus

Outils :

• npm audit (Node.js)
• composer audit (PHP)
• Snyk

10. Insufficient Logging & Monitoring

Vérifier :

• Logs activés
• Alertes configurées
• Rétention logs
• Monitoring temps réel

Phase 4 : Tests spécifiques

1. CSRF (Cross-Site Request Forgery)

Test :

<form action="https://example.com/transfer" method="POST">
  <input name="to" value="attacker">
  <input name="amount" value="10000">
</form>
<script>document.forms[0].submit();</script>

Protection :

• Tokens CSRF
• SameSite cookies

2. Clickjacking

Test :

<iframe src="https://example.com"></iframe>

Protection :

X-Frame-Options: DENY
Content-Security-Policy: frame-ancestors 'none'

3. File Upload

Test :

• Upload fichier malveillant (.php, .exe)
• Bypass filtres (double extension)

Protection :

• Whitelist extensions
• Vérification MIME type
• Stockage hors webroot
• Scan antivirus

4. Rate Limiting

Test :

• Brute force
• DDoS applicatif

Protection :

• Limitation requêtes/IP
• CAPTCHA
• WAF

Outils d'audit

Gratuits

OWASP ZAP

• Complet
• Open-source
• Proxy + scan automatique

Nikto

• Scan serveur web
• Ligne de commande

Nmap

• Scan réseau
• Détection services

WPScan

• Spécifique WordPress
• Base CVE

Qualys SSL Labs

• Test SSL/TLS
• Gratuit en ligne

Payants

Acunetix

• Scan automatique avancé
• Prix : 4 500 €/an

Burp Suite Pro

• Proxy intercepteur
• Tests manuels
• Prix : 449 €/an

Nessus Professional

• Scan vulnérabilités
• Prix : 3 990 €/an

Detectify

• Scan continu
• Prix : 200 €/mois

Services managés

Pentest as a Service

• HackerOne
• Bugcrowd
• YesWeHack (français)

Prix : 2 000-10 000 €/test

Rapport d'audit

Structure

1. Executive Summary

• Niveau de risque global
• Vulnérabilités critiques
• Recommandations prioritaires

2. Méthodologie

• Périmètre
• Outils utilisés
• Dates

3. Résultats détaillés

Par vulnérabilité :

• Nom
• Sévérité (Critique, Haute, Moyenne, Faible)
• Description
• Impact
• Preuve de concept
• Recommandation

4. Annexes

• Captures d'écran
• Logs
• Scripts utilisés

Classification sévérité

Critique :

• Injection SQL
• RCE (Remote Code Execution)
• Accès admin sans auth

Haute :

• XSS stored
• CSRF sur actions sensibles
• Fuite données sensibles

Moyenne :

• XSS reflected
• Clickjacking
• Information disclosure

Faible :

• Headers sécurité manquants
• Versions exposées
• Erreurs détaillées

Remédiation

Priorisation

1. Vulnérabilités critiques (< 7 jours)

• Injection SQL
• RCE
• Accès non autorisé

2. Vulnérabilités hautes (< 30 jours)

• XSS stored
• CSRF
• Broken authentication

3. Vulnérabilités moyennes (< 90 jours)

• XSS reflected
• Misconfiguration

4. Vulnérabilités faibles (< 180 jours)

• Headers
• Information disclosure

Validation

Re-test :

• Après correction
• Vérifier fix effectif
• Pas de régression

Budget audit

Audit automatique (DIY)

Gratuit :

• Outils open-source
• Temps : 4-8h

Audit professionnel

Audit basique :

• Scan automatique + rapport
• Prix : 1 500-3 000 €

Audit complet :

• Scan + tests manuels
• Prix : 3 000-8 000 €

Pentest approfondi :

• Tests manuels exhaustifs
• Prix : 8 000-25 000 €

Audit continu

Monitoring :

• Scan hebdomadaire
• Alertes temps réel
• Prix : 200-800 €/mois

Conformité

RGPD

Obligations sécurité :

• Chiffrement
• Contrôle d'accès
• Logs
• Tests réguliers

Audit RGPD : 3 000-10 000 €

PCI-DSS (e-commerce)

Si paiement en ligne :

• Scan trimestriel obligatoire
• Pentest annuel
• Conformité stricte

Audit PCI-DSS : 5 000-15 000 €

Checklist audit

✅ Reconnaissance

• Whois, DNS
• Technologies identifiées
• Sous-domaines découverts

✅ Scan automatique

• OWASP ZAP
• Nikto
• Nmap
• WPScan (si WordPress)
• SSL Labs

✅ Tests manuels

• Injection SQL
• XSS
• CSRF
• Broken authentication
• Access control

✅ Configuration

• Headers sécurité
• HTTPS partout
• Cookies sécurisés
• Erreurs masquées

✅ Composants

• Versions à jour
• Pas de CVE connus
• Plugins/librairies auditées

✅ Monitoring

• Logs activés
• Alertes configurées
• Backup réguliers

Conclusion

Un audit de sécurité est indispensable pour tout site web professionnel. Les vulnérabilités sont nombreuses et les attaquants actifs. Un audit annuel minimum est recommandé.

Priorités :

1. Scan automatique (OWASP ZAP)
2. Test SSL/TLS (Qualys)
3. Vérification OWASP Top 10
4. Headers sécurité
5. Mises à jour composants

Budget réaliste : 3 000-8 000 € (audit complet)
Fréquence : Annuel minimum
ROI : Évite piratage 50 000-200 000 €

Notre recommandation : Audit professionnel annuel + scan automatique mensuel. Ne pas attendre d'être piraté pour agir.

Besoin d'un audit de sécurité ? Nous réalisons des audits complets et pentests pour sites web et applications. Rapport détaillé et accompagnement remédiation. Contactez-nous pour un devis.