Que vérifie un scanner de sécurité de site en ligne, que ne voit-il pas et comment lire le score ?

Un scanner de sécurité de site en ligne regarde votre site comme le voit n'importe qui sur Internet. Vous saisissez l'adresse, le scanner envoie des requêtes au site, lit les réponses et les compare à une liste de problèmes connus. Il n'a besoin ni de mot de passe, ni d'extension, ni d'accès à votre serveur.

Cela joue dans les deux sens. Le bon côté : vous avez une réponse en quelques minutes sans demander d'accès à personne. La limite : le scanner ne voit que ce que le site montre au monde extérieur. Voici ce qui entre dans cette vue, ce qui n'y entre pas, et comment lire le rapport pour savoir quoi faire ensuite.

Ce qu'un scanner peut voir de l'extérieur

Un scanner part de là où part un attaquant. Les robots qui ratissent chaque jour Internet à la recherche de cibles faciles n'ont pas non plus vos mots de passe. Ils lisent tout ce qui se lit sans connexion. Un bon scanner en ligne regarde les mêmes endroits :

• Certificat et chiffrement. Si le certificat SSL est valide et quand il expire, si le serveur accepte encore un chiffrement obsolète, et si chaque variante de votre adresse aboutit à https://.
• Versions de logiciels. Le code source de vos pages révèle souvent la version de WordPress, du thème, des extensions et des bibliothèques JavaScript. Le scanner les compare à des bases de vulnérabilités connues.
• Fichiers à la vue de tous. Des sauvegardes nommées comme backup.zip, des fichiers .env, un dossier .git, des journaux et des exports de base de données. Si le serveur les remet à quiconque les demande, le scanner les verra.
• En-têtes de sécurité et cookies. Si le navigateur reçoit les instructions qui rendent plus difficile d'encadrer votre site ou d'y injecter un script, et si les cookies de session portent les bons attributs.
• Messagerie. Les enregistrements SPF, DKIM et DMARC, qui décident si un inconnu peut envoyer un courrier semblant venir de votre domaine.
• Code malveillant et réputation. Si le domaine figure sur des listes de menaces comme Google Safe Browsing, et si le code de la page d'accueil contient des cadres cachés ou des redirections suspectes.
• Ports ouverts et sous-domaines oubliés. Un panneau d'administration de base de données exposé sur Internet, ou une ancienne copie de test du site à une adresse comme test.votredomaine.fr.

ShieldWave exécute plus de 20 contrôles de ce type d'un seul passage, en 90 secondes environ. Les contrôles qui envoient des données de test à vos formulaires ne se lancent qu'après votre confirmation que le site est le vôtre. Sans cela, ShieldWave se contente de lire ce que le site montre à tout visiteur.

Ce qu'un scanner en ligne ne peut pas vérifier

Tout ce qui est derrière une connexion ou dans les fichiers de votre serveur échappe à une analyse de l'extérieur :

• Les fichiers PHP. Le scanner ne peut pas ouvrir les fichiers du serveur, il ne trouvera donc pas une porte dérobée qui ne laisse aucune trace dans la page. Sur WordPress, c'est le rôle d'une extension qui travaille de l'intérieur, ou du scanner de malwares de votre panneau d'hébergement.
• Les comptes et les mots de passe. Il ne peut pas dire combien d'administrateurs vous avez, si quelqu'un se connecte avec « admin123 », ni si la connexion à deux facteurs est activée.
• Les extensions qui ne laissent aucune trace. Si une extension n'ajoute rien au code source de la page, le scanner ne peut pas connaître sa version.
• Le contenu de la base de données. Du spam ajouté à d'anciens articles qui n'apparaît que sur quelques pages.
• La logique de votre boutique ou de votre application. Si un client peut voir la commande d'un autre en changeant un numéro dans l'adresse. C'est un humain qui vérifie cela dans un test d'intrusion : un spécialiste passe plusieurs jours à tenter de s'introduire à la main, en connaissant le fonctionnement de votre activité.

Une analyse de l'extérieur ne remplace donc ni une extension ni un test d'intrusion. Elle répond à une autre question : que voit toute personne qui arrive sur votre site, robots compris. Deux des sujets les plus fréquents de cette liste ont leurs propres articles : les extensions obsolètes et les en-têtes de sécurité.

Comment lire un score de 0 à 100

ShieldWave résume une analyse en un nombre de 0 à 100. Plus il est élevé, moins les contrôles ont trouvé de problèmes et moins ils sont graves. Ce nombre sert à deux choses : comparer votre site à lui-même après les corrections, et savoir rapidement s'il faut agir cette semaine.

Trois règles :

1. Lisez la liste en plus du nombre. Un site à 70 avec un problème critique demande une action plus rapide qu'un site à 60 avec une douzaine de remarques mineures.
2. Un score élevé ne veut pas dire que le site est sûr. Il veut dire que les contrôles de l'extérieur ont trouvé peu de choses. Les points de la section précédente peuvent encore être défaillants.
3. Comparez les dates. La même analyse un mois plus tard montre si les corrections ont fonctionné et si quelque chose de nouveau est apparu, comme une vulnérabilité d'extension publiée entre-temps.

Les trois constats les plus graves de l'offre gratuite

L'offre gratuite affiche votre score et vos trois problèmes les plus graves. La liste est courte exprès : si quelque chose doit être corrigé cette semaine, il y figurera.

Chaque constat dit ce qui ne va pas et ce que cela signifie pour l'activité, sans jargon. Le haut de la liste contient en général des choses comme une sauvegarde que tout le monde peut télécharger, une extension avec une vulnérabilité connue ou un certificat sur le point d'expirer.

Le rapport complet classe chaque constat selon trois échéances : cette semaine, ce mois-ci et plus tard. Il ajoute un descriptif pour votre développeur avec le détail technique dont il a besoin pour chiffrer le travail. Si vous ne savez pas comment le lui transmettre, lisez comment parler de sécurité avec votre développeur.

La place de moje.cert.pl

Si votre entreprise ou votre organisation est en Pologne, ouvrez un compte sur moje.cert.pl (en polonais). C'est un service gratuit exploité par CERT Polska, l'équipe nationale de réponse aux incidents qui travaille au sein du NASK. Vous pouvez y commander une analyse de vos domaines, et le service vous informe des vulnérabilités connues dans les logiciels que vous utilisez, des domaines et sous-domaines mal configurés, et des fuites de données impliquant des comptes de votre domaine.

Je le recommande à tout propriétaire de site en Pologne, quoi qu'il utilise par ailleurs. On le configure une fois et les notifications arrivent d'elles-mêmes.

ShieldWave se place à côté, pour quand vous voulez une réponse tout de suite, en langage clair, avec un ordre de corrections et un descriptif à transmettre. Les deux regardent de l'extérieur : les résultats se recouperont donc en partie.

À quelle fréquence analyser

Une fois par mois suffit à la plupart des petites entreprises. Analysez plus souvent quand :

• quelque chose change sur le site : une nouvelle extension, un nouveau thème, un changement d'hébergeur,
• une personne ou une agence qui avait accès à l'administration s'en va,
• vous recevez un signe que quelque chose cloche : un avertissement de Google, un client qui mentionne une redirection étrange, du spam envoyé depuis votre domaine. Dans ce cas, lisez aussi les signes que votre site a été piraté.

Vérifiez votre site. Saisissez votre adresse sur shieldwave.io. Cela prend environ 90 secondes, sans mot de passe ni compte.