Outil gratuit : Technique

Audit de site web gratuit

Une seule analyse portant sur la page que vous saisissez et jusqu’à quatre pages clés, avec des résultats dans sept domaines : accessibilité, préparation à l’EAA, SEO, vitesse, conversion, sécurité et authentification des e-mails. Commencez par là pour voir où se situent les plus gros problèmes avant de décider quoi corriger.

Gratuit. Teste jusqu’à cinq pages clés en une minute environ.

Ce que vérifie cet outil

  • Accessibilité

    Les règles axe-core WCAG 2.2 de niveau A et AA sur chaque page testée, plus un test au clavier pour détecter les pièges au focus, les liens d’évitement et les contours de focus manquants.

  • Préparation à l’EAA

    Les non-conformités d’accessibilité détectées automatiquement, rattachées à l’EN 301 549, la norme européenne utilisée pour l’Acte européen sur l’accessibilité.

  • SEO

    Titres, descriptions, H1, balises canoniques, noindex, robots.txt, sitemap XML, viewport, langue, Open Graph et données structurées.

  • Vitesse

    Temps de chargement, décalage de mise en page, tâches longues, poids des pages, images lourdes et part des services tiers, mesurés sur les mêmes chargements de page. Le test sur téléphone en 4G lente se trouve dans le Test de vitesse de site web.

  • Conversion

    Appels à l’action, moyens de contact, formulaires et éléments de confiance comme les témoignages et les liens vers les politiques. Sur les boutiques, également des vérifications de la fiche produit et du panier, comme le prix, le bouton Ajouter au panier et le bouton de paiement.

  • Sécurité passive

    Le certificat, la redirection de HTTP vers HTTPS, les en-têtes de sécurité, les attributs des cookies, le contenu mixte, les versions obsolètes de jQuery et Lodash, security.txt et la politique DMARC qui protège contre l’usurpation d’e-mail.

  • Authentification des e-mails

    SPF, DKIM sur les sélecteurs courants, DMARC, BIMI et MTA-STS, lus dans le DNS public.

  • Type de site et technologie

    Le type de site (boutique, SaaS ou application, site d’entreprise, blog, site média, enseignement, administration publique, santé, hôtel ou landing page) et sa plateforme parmi 18 technologies, détectés à partir d’indices publics avec un niveau de confiance. Ces deux éléments déterminent les pages et les vérifications utilisées.

Ce qu’il ne peut pas vérifier

  • Approfondir un domaine en particulier. Chaque domaine présente ses constats les plus importants ; le rapport payant correspondant effectue davantage de tests et fournit la correction de chaque problème relevé.
  • Tester plus de cinq pages, des pages protégées par une connexion ou un tunnel de paiement.
  • Faire office de test d’intrusion. Les vérifications de sécurité lisent uniquement ce que montrent le navigateur d’un visiteur et le DNS public.
  • Trouver toutes les clés DKIM. Les sélecteurs ne peuvent pas être listés : seuls ceux qu’utilisent les services d’e-mail courants sont donc vérifiés.
  • Répondre à des questions juridiques, par exemple si l’ADA ou l’EAA s’applique à vous ou si vous êtes en conformité.
  • Mesurer des résultats comme le positionnement, les taux de conversion, les ventes ou l’arrivée des e-mails en boîte de réception.

Pourquoi c’est important

Les problèmes d’un site restent rarement cantonnés à un seul domaine. Un carrousel d’images peut être à la fois la non-conformité d’accessibilité, le fichier le plus lourd de la page et la raison pour laquelle l’appel à l’action se retrouve sous le premier écran. Un bandeau cookies peut piéger le focus clavier et décaler la mise en page en même temps. Voir tous les domaines dans une seule analyse montre où une seule modification règle plusieurs problèmes.

Une vérification large révèle aussi ce dont personne n’est responsable. Les enregistrements d’authentification des e-mails sont configurés une fois, puis oubliés ; sans politique DMARC appliquée, des tiers peuvent envoyer des e-mails qui semblent provenir de votre domaine. L’expiration du certificat, l’absence d’en-têtes de sécurité et une ancienne version de jQuery embarquée par une extension passent tout aussi inaperçues, jusqu’à ce que quelque chose casse.

Comme l’analyse détecte le type de site qu’elle teste, les vérifications sont adaptées : une boutique bénéficie des vérifications de la fiche produit et du panier, un site SaaS de celles de sa page de tarifs, un blog de celles de ses articles. La détection affiche ses indices et son niveau de confiance, pour que vous puissiez voir quand elle s’est trompée.

Comment lire les résultats

Problème
Un problème avéré que les vérifications ont confirmé, comme une règle WCAG en échec, une page en noindex ou l’absence d’enregistrement DMARC.
À vérifier
Un point qu’une personne doit examiner, parce que le logiciel ne peut pas trancher ou que c’est peut-être voulu, comme un élément sur lequel axe-core n’a pas pu se prononcer ou une page que d’autres sites peuvent intégrer.
Opportunité
Une amélioration plutôt qu’une erreur, comme l’absence de Content Security Policy ou un appel à l’action situé sous le premier écran.
Réussi
La vérification a été effectuée et n’a rien trouvé d’anormal sur les pages testées.
Information
Du contexte plutôt qu’un verdict, par exemple les en-têtes de sécurité que Shopify définit pour chaque boutique et que vous ne pouvez pas modifier.
Type de site et niveau de confiance
Ce que l’analyse pense que votre site est, avec les indices sur lesquels elle s’appuie. Lorsque les indices sont minces, le site est traité comme un site web générique et bénéficie tout de même de toutes les vérifications adaptées à n’importe quel site.
Technologie
La plateforme ou le framework détecté, comme Shopify, WordPress, Webflow ou Next.js. Il détermine les étapes de correction propres à la plateforme que vous voyez.

Comment corriger les problèmes les plus courants

  • Pas de politique DMARC

    Publiez un enregistrement TXT sur _dmarc.yourdomain.com, par exemple v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, pour commencer à recevoir des rapports. Une fois que les rapports montrent que chaque service qui envoie des e-mails en votre nom passe SPF ou DKIM, passez à p=quarantine, puis à p=reject.

  • HTTP ne redirige pas vers HTTPS

    Activez l’option de forçage HTTPS chez votre hébergeur ou dans votre CDN, ou ajoutez une redirection 301 de http:// vers https:// pour tous les chemins. Une fois que HTTPS fonctionne partout, ajoutez un en-tête Strict-Transport-Security.

  • En-têtes de sécurité manquants

    Commencez par X-Content-Type-Options: nosniff, une Referrer-Policy comme strict-origin-when-cross-origin, et frame-ancestors dans une Content Security Policy (ou X-Frame-Options) pour empêcher d’autres sites d’intégrer vos pages dans un cadre. Une Content Security Policy complète doit être testée : commencez donc par Content-Security-Policy-Report-Only.

  • jQuery ou Lodash obsolète

    Passez à une version actuelle, ou supprimez la bibliothèque si rien ne l’utilise. Sur WordPress, les anciennes copies proviennent généralement d’un thème ou d’une extension qui embarque sa propre version : la solution consiste alors à mettre à jour ou à remplacer cette extension.

  • SPF avec trop de requêtes

    SPF autorise au maximum 10 requêtes DNS. Supprimez les entrées include: des services que vous n’utilisez plus, évitez autant que possible les include imbriqués et assurez-vous que le domaine ne publie qu’un seul enregistrement SPF.

  • Pas d’appel à l’action clair

    Placez une action principale, comme « Réserver une démo », « Demander un devis » ou « Découvrir les nouveautés », dans le premier écran de la page d’accueil, sous forme de vrai lien ou de vrai bouton avec un texte précis, et répétez-la après les sections clés.

Questions sur cet outil

Que comprend l’audit de site web gratuit ?

La page que vous saisissez et jusqu’à quatre pages clés, testées dans un vrai navigateur, ainsi que des vérifications à l’échelle du site : robots.txt, sitemap, certificat, en-têtes de réponse et enregistrements DNS. Les résultats sont présentés dans sept domaines, chacun avec ses constats les plus importants.

Combien de temps cela prend-il ?

Environ une minute pour la plupart des sites, puisque cinq pages sont chargées et testées. Si la même adresse a été analysée au cours de la dernière heure, ces résultats peuvent être réutilisés.

La vérification de sécurité est-elle sans danger pour un site en production ?

Oui. Elle lit uniquement ce que montrent le navigateur d’un visiteur et le DNS public : le certificat, les en-têtes, les cookies, les scripts et les enregistrements. Elle n’essaie jamais de mots de passe, ne sonde aucun chemin caché et n’envoie aucun trafic d’attaque.

Comment le type de site est-il détecté ?

À partir d’indices publics relevés sur vos pages : données structurées, balises generator, scripts et libellés des liens et des boutons. Chaque étiquette est accompagnée d’un niveau de confiance et de ses indices : une erreur de détection est donc facile à repérer.

Pourquoi moins de cinq pages ont-elles été testées ?

Les pages clés sont choisies parmi les liens de la page que vous saisissez. Sur un petit site, ou lorsqu’une page redirige vers un autre site, renvoie une erreur ou est bloquée, moins de pages peuvent être testées.

Par quel rapport payant commencer ?

Par celui du domaine où se trouvent les problèmes qui comptent le plus pour vous. Chaque domaine de l’audit renvoie vers son rapport, qui teste davantage de pages ou effectue des tests supplémentaires, et fournit la correction de chaque problème relevé.

Sources

Outils associés