Rapport de correction

Rapport Sécurité du site

Nous vérifions la configuration de sécurité que tout le monde peut voir depuis l’extérieur de votre site : votre certificat, vos en-têtes, vos cookies, vos scripts et votre DNS public. La vérification est passive : rien n’est attaqué, aucun mot de passe n’est essayé et aucun chemin caché n’est sondé.

  • Certificat et redirection HTTPS
  • En-têtes, cookies, contenu mixte
  • Bibliothèques JavaScript obsolètes

Ce que nous vérifions

  • HTTPS et certificat

    Pages servies sans HTTPS, redirection de HTTP vers HTTPS, et si le certificat est reconnu, en cours de validité et utilise une version moderne de TLS.

  • En-têtes de sécurité

    HSTS, protection contre l’intégration dans un cadre (framing), X-Content-Type-Options, Referrer-Policy et Content Security Policy. Sur Shopify, ces en-têtes sont gérés par la plateforme et affichés à titre indicatif.

  • Cookies

    Cookies sans l’attribut Secure et cookies de type session lisibles par les scripts.

  • Contenu mixte et formulaires

    Ressources HTTP non sécurisées sur des pages HTTPS, et formulaires qui envoient des données en HTTP non chiffré.

  • JavaScript obsolète

    Versions de jQuery, jQuery UI et Lodash présentant des vulnérabilités publiquement connues.

  • Divulgation et contact

    Versions des logiciels serveur visibles dans les en-têtes, et publication ou non d’un contact security.txt.

  • Usurpation d’e-mail

    Si votre politique DMARC empêche des tiers d’envoyer des e-mails qui semblent provenir de vous.

Ce que vous obtenez

  • Chaque risque, avec ce qu’il signifie pour votre site
  • Ce que vous contrôlez et ce que gère votre plateforme
  • Des corrections pour votre serveur, votre CDN ou votre plateforme
  • Un prompt IA prêt à l’emploi pour chaque constat
  • Un PDF à partager avec votre développeur

Comment le rapport est réalisé

  1. 1

    Vos pages sont chargées dans un navigateur, et leurs en-têtes, cookies et scripts sont lus.

  2. 2

    Votre certificat, la redirection HTTP et le fichier security.txt sont vérifiés depuis l’extérieur.

  3. 3

    L’enregistrement DMARC de votre domaine est lu dans le DNS public.

Constats tirés de l’exemple de rapport

Résultats réels pour Harbor & Pine, une boutique fictive que nous avons créée avec des problèmes courants.

Ouvrir l’exemple de rapport complet
  • Problem

    Insecure (HTTP) resources on HTTPS pages

    {n} page(s) load files over plain HTTP.{"n":1}

    Fix: Change the listed addresses to {https} (or upload the files to your store), in the theme or the app that adds them.{"https":"https://"}

  • Problem

    Outdated JavaScript libraries with known vulnerabilities

    jQuery 3.4.1

    Fix: Find which theme file or app loads the library (search the theme code for its file name).

  • Problem

    Cookies without the {flag} flag{"flag":"Secure"}

    hp_session

    Fix: Set the {flag} attribute on these cookies in the app or code that creates them.{"flag":"Secure"}

Ce qu’il ne couvre pas

  • Un test d’intrusion, une analyse de vulnérabilités ou un audit de sécurité complet
  • La sécurité de l’administration, de la connexion et du paiement
  • La configuration de votre serveur, de votre hébergement ou de vos applications

Questions sur ce rapport

Est-ce un test d’intrusion ?

Non. Il lit uniquement ce que le navigateur de n’importe quel visiteur peut voir. Nous n’attaquons jamais votre site, nous n’essayons aucun mot de passe et nous ne sondons aucun chemin caché.

Pourquoi certains points apparaissent-ils à titre d’information pour les boutiques Shopify ?

Shopify définit lui-même les en-têtes de la vitrine et certains cookies, et les marchands ne peuvent pas les modifier. Le rapport les affiche à titre indicatif et se concentre sur ce que vous contrôlez.

Quelles bibliothèques sont vérifiées ?

jQuery, jQuery UI et Lodash, comparées aux versions présentant des vulnérabilités publiquement connues (répertoriées CVE).

Conservez-vous des données de mon site ?

Uniquement les résultats des vérifications et les captures d’écran utilisées dans votre rapport. Consultez la politique de confidentialité pour la durée de conservation.

Guides associés

Autres rapports

Analysez votre site dès aujourd’hui

Repérez. Corrigez. Vérifiez.

De quel type de site s’agit-il ?

Votre réponse choisit les bons contrôles, comme le parcours d’achat pour les boutiques en ligne. Nous vérifions quand même les indices du site lui-même et montrons les deux.

De quel type de site s’agit-il ?

Analyse gratuite. Aucune carte bancaire requise.