Test de sécurité de site web, gratuit et immédiat
Entrez l’adresse de votre site. Le test de sécurité vérifie en quelques secondes ce que tout visiteur, et donc tout attaquant, peut voir : HTTPS, en-têtes de sécurité, fichiers exposés, WordPress et version de PHP.
Test de sécurité du site
Nous lisons seulement ce que tout visiteur peut voir : les en-têtes, la page d’accueil et quelques adresses connues.
Ce test ne voit que l’extérieur. Il ne peut pas juger les extensions, les mots de passe ni le serveur lui-même.
Ce que vérifie le test de sécurité du site web
Le test reprend les premières vérifications d’un audit de sécurité de site web. Il lit les en-têtes de réponse, la page d’accueil et une poignée d’adresses bien connues, puis classe le résultat en problèmes, points à améliorer et points en ordre.
| Domaine | Ce que nous regardons |
|---|---|
| Connexion | HTTPS, redirection de http vers https, HSTS |
| En-têtes de sécurité | Content-Security-Policy, protection contre l’intégration (clickjacking), X-Content-Type-Options, Referrer-Policy |
| Ce que le serveur dévoile | Logiciel et version du serveur, version de PHP, plateforme utilisée (WordPress ou autre) et sa version |
| Fichiers qui ne devraient pas être publics | Dossier .git, fichier .env, liste des fichiers du dossier uploads, readme.html de WordPress |
| Points faibles de WordPress | Page de connexion à l’adresse par défaut, XML-RPC actif, noms d’utilisateur visibles via l’API |
| PHP2Shell | Si la version de PHP est visible : est-elle corrigée contre CVE-2026-109618 et CVE-2026-109619 ? |
PHP2Shell désigne deux failles critiques de PHP publiées en octobre 2026 (CVSS 9.2), corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Si votre serveur affiche sa version de PHP, le test indique si elle est corrigée. Les détails sont dans notre alerte, en néerlandais, et dans notre page sur la mise à jour PHP.
Ce que le test ne voit pas
- Les extensions et thèmes installés, et leurs failles connues.
- Les mots de passe, les comptes administrateurs et la double authentification.
- Les logiciels malveillants déjà présents sur le serveur, s’ils ne se montrent pas sur la page d’accueil.
- La configuration du serveur, de la base de données et des sauvegardes.
- La version exacte de PHP, si votre serveur ne l’affiche pas.
Pour vérifier tout cela, il faut un accès au site et au serveur.
Que faire du résultat
- Problèmes en rouge : traitez-les d’abord. Un dossier .git ou un fichier .env public se bloque en quelques minutes chez votre hébergeur ; changez ensuite tous les mots de passe et clés qu’il contenait.
- Points à améliorer : la plupart des en-têtes de sécurité s’ajoutent dans la configuration du serveur, chez l’hébergeur ou via un service comme Cloudflare.
- Sous WordPress : mettez à jour extensions, thème et cœur, désactivez XML-RPC si vous ne l’utilisez pas, et activez la double authentification. Notre page sur la maintenance WordPress donne la liste complète.
- Envoyez-nous le rapport si vous voulez de l’aide : nous vous disons ce qui est urgent et ce qui peut attendre.
Site WordPress piraté ? Commencez ici
- Mettez le site hors ligne. Demandez-le à votre hébergeur. Une extension de mode maintenance ne suffit pas : le code infecté continue de tourner.
- Changez tous les mots de passe, depuis un ordinateur de confiance : administrateurs WordPress, compte d’hébergement, (S)FTP et base de données.
- Cherchez ce qui a changé. Utilisateurs inconnus avec des droits d’administrateur, nouveaux fichiers PHP dans
wp-content/uploads, extensions que vous ne connaissez pas. Demandez les journaux d’accès à votre hébergeur. - Restaurez une sauvegarde saine, ou faites nettoyer le site. Si vous ne savez pas depuis quand il est infecté, ne partez pas du principe que la dernière sauvegarde est propre.
- Mettez ensuite tout à jour et supprimez ce qui ne sert pas : WordPress, thèmes, extensions et version de PHP.
- Regardez dans Google Search Console, rubrique Problèmes de sécurité. Si Google a signalé votre site, demandez un réexamen une fois le nettoyage terminé.
Des données personnelles ont pu être consultées, comme des données clients ou des messages de formulaire ? Le RGPD (article 33) impose alors en général de notifier la violation dans les 72 heures après en avoir pris connaissance : en Belgique à l’Autorité de protection des données (APD), en France à la CNIL. Ce n’est pas nécessaire si la violation ne présente pas de risque pour les personnes concernées ; dans le doute, notez ce que vous savez et notifiez.
Un site WordPress piraté une fois l’est souvent à nouveau si rien ne change. La solution durable consiste à retirer ce qui est attaqué : nous reconstruisons votre site en pages statiques, sans PHP ni extensions. Comment se passe la migration.
Questions fréquentes
Le test de sécurité est-il gratuit ?
Oui. Vous entrez une adresse et vous voyez le résultat tout de suite. Pas d’inscription, pas d’adresse e-mail à donner.
Le test peut-il endommager mon site ?
Non. Il lit seulement ce que tout visiteur peut voir : les en-têtes de réponse, la page d’accueil et quelques adresses connues. Il ne tente pas de se connecter, n’envoie pas de formulaire et ne cherche pas à exploiter une faille.
Un résultat sans problème veut-il dire que mon site est sûr ?
Non. C’est un bon signe, sans plus : les erreurs les plus visibles sont évitées, mais une extension vulnérable ou un mot de passe faible passent inaperçus de l’extérieur.
Quelle est la différence avec un audit de sécurité ?
Un audit de sécurité de site web va plus loin : accès au serveur et au tableau de bord, liste des extensions et de leurs failles connues, comptes et droits, sauvegardes, journaux. Notre test est un premier tri rapide, utile pour savoir s’il faut aller plus loin.
Comment savoir si mon site WordPress est piraté ?
Signes fréquents : Google affiche « Ce site a peut-être été piraté », des pages inconnues apparaissent dans Google (cherchez site:votredomaine.be), les visiteurs venant de Google sont redirigés ailleurs, votre hébergeur bloque votre compte, ou des administrateurs que vous n’avez pas créés apparaissent dans WordPress.
La sécurité d’un site internet, c’est aussi sa version de PHP : voyez quelles versions sont encore suivies.
Un doute sur votre site ?
Envoyez-nous l’adresse. Nous vous disons où sont les risques, et ce que changerait un site sans WordPress.