Website Security Check : vérifier la sécurité d’un site web

L’outil accède une fois à ta page comme un visiteur ordinaire (en suivant un nombre limité de redirections) et relève les informations exposées par le serveur : les en-têtes Server et X-Powered-By, le générateur CMS dans le HTML, six en-têtes de sécurité, les attributs des cookies, le certificat TLS, les anciennes versions de TLS, la redirection vers HTTPS ainsi que les enregistrements SPF, DMARC et DKIM du domaine. Il compare les versions détectées aux données de publication d’endoflife.date et aux alertes de sécurité actuelles. Dans cet exemple fictif, example.com annonce la version PHP 8.2.28 : elle est donc probablement concernée et reçoit la note F.

Non, volontairement. Un scanner de vulnérabilités teste activement un site, par exemple en envoyant des requêtes sur de nombreux chemins. Ce n’est pas approprié sur des serveurs tiers ni dans un outil public. Cette analyse est passive : elle ne tente aucune attaque, n’explore aucun autre chemin et indique où ta page semble vulnérable de l’extérieur. Pour obtenir une réponse fiable, utilise l’auto-test sur ton serveur.

Chaque analyse part de 100 points et applique des pénalités pondérées selon les problèmes détectés : une alerte de sécurité actuelle ou un certificat invalide entraîne une forte pénalité, tandis que l’absence d’en-têtes de sécurité coûte au maximum 8 points au total. À partir de 90 points, la note est A ; à partir de 80, B ; de 70, C ; de 60, D ; de 50, E ; en dessous, F. Si une alerte de sécurité actuelle concerne la version détectée, la note ne peut dépasser D ; si un logiciel serveur n’est plus pris en charge, elle ne peut dépasser C. Ce qui n’est pas visible de l’extérieur ne coûte aucun point : même un A ne prouve donc pas que le serveur est sûr.

De l’extérieur, tu ne vois que ce que le serveur révèle. S’il n’indique aucune version, le verdict est « non détectable » : masquer la version est une bonne pratique, mais ne renseigne pas sur l’état des correctifs. De plus, un ancien numéro de version peut correspondre à un logiciel déjà corrigé : Debian, Ubuntu et d’autres distributions rétroportent les correctifs de sécurité tout en conservant l’ancien numéro. L’analyse indique donc « probablement concerné », « non détectable » ou « corrigé », mais jamais « sûr ».

Vérifie avec php -v sur le serveur. Pour les requêtes web, c’est toutefois la version de PHP-FPM ou d’Apache qui compte, pas seulement celle de la ligne de commande. La commande de l’autotest affiche toutes les installations PHP trouvées, leurs versions et les paramètres pertinents. De l’extérieur, certains serveurs indiquent la version dans l’en-tête X-Powered-By ; tu peux désactiver cela avec expose_php=Off.

Tu exécutes sur ton serveur une courte commande en lecture seule, puis tu colles le résultat dans l’outil. La commande ne lance aucun programme : elle lit uniquement la base de données des paquets et les fichiers de configuration. Elle relève le système d’exploitation et le noyau, les versions des paquets PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis et Node.js, les mises à jour disponibles dans le cache local du gestionnaire de paquets, la nécessité éventuelle d’un redémarrage, les valeurs pertinentes de php.ini et la présence des correctifs dans les journaux de modifications des paquets. L’analyse s’effectue dans ton navigateur : le résultat n’est ni envoyé ni enregistré. Tu peux ainsi vérifier les serveurs internes et évaluer les correctifs rétroportés par la distribution.

Deux vulnérabilités critiques de PHP signalées par le BSI le 21.10.2026. Selon l’alerte, les anciennes versions jusqu’à PHP 5 au moins sont également concernées. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; l’équipe PHP a fourni des correctifs rétroportés pour 7.4, 8.0 et 8.1. Comme mesures temporaires, le BSI recommande session.upload_progress.enabled=0, memory_limit=-1, une faible valeur de post_max_size et, pour PHP 8.5, fatal_error_backtraces=0. Ces solutions de contournement compliquent seulement l’attaque : elles ne remplacent pas la mise à jour.

Non. Website Security Check s’adresse aux propriétaires de sites et aux administrateurs. Il évalue les versions des logiciels, les en-têtes de sécurité, TLS et les enregistrements d’e-mail d’un site web. Il ne vérifie ni la fiabilité d’une boutique, ni la présence de phishing ou de logiciels malveillants sur un site.

L’analyse est gratuite et ne nécessite aucune inscription. Pour éviter de surcharger les serveurs, elle est limitée à 10 analyses par minute et par adresse IP et à 30 par minute et par hôte analysé. Les résultats sont mis en cache pendant environ 10 minutes. L’analyse n’accède pas aux adresses IP privées, à localhost ni aux URL contenant des identifiants. Pour les serveurs internes, utilise l’auto-test.