Ce que votre site dit de vous
avant le premier clic.
Un visiteur n'ouvre pas votre console d'administration : il voit un cadenas, ou un écran rouge. Il reçoit un courriel à votre nom, ou il n'en reçoit pas. Il lit une page qui se charge, ou une page qui affiche des avertissements. Tout ce qu'il faut pour le rassurer — ou l'inquiéter — est visible de l'extérieur, sans votre accord et sans mot de passe.
Quatre signaux, tous lisibles depuis l'extérieur
Le certificat et la connexion
Le certificat, sa date d'expiration, le nom qu'il couvre, et le fait que la connexion soit réellement forcée en sécurisé — y compris sur les sous-domaines.
Ce qu'un visiteur voit : le cadenas, ou l'écran « votre connexion n'est pas privée ». Il referme.
Les protections du navigateur
Les en-têtes qui empêchent votre page d'être affichée dans un site tiers, un fichier d'être réinterprété, et le navigateur de deviner ce qu'il ne sait pas.
Ce que ça change : votre page ne peut pas être réutilisée à votre insu pour piéger un client.
Le nom de domaine usurpé
Les enregistrements qui prouvent que les courriels venant de votre nom viennent bien de vous : SPF, DKIM, DMARC. On lit leur présence et leur niveau de strictesse.
Ce que ça change : sans eux, n'importe qui peut écrire à vos clients sous votre nom, et c'est eux qui paient la facture.
Ce qui est chargé en non sécurisé
Les ressources appelées en HTTP depuis une page en HTTPS, et la version de votre serveur affichée à qui la demande.
Ce que ça change : des signaux de défiance visibles par un acheteur attentif, sans qu'aucune faille ne soit exploitée.
Ce qu'on ne fait pas
La vérification est passive : nous ouvrons vos pages publiques comme le ferait un visiteur, nous notons ce que nous voyons, nous datons. Aucune page d'administration, aucun mot de passe essayé, aucun formulaire soumis, aucune tentative d'intrusion. Ce n'est donc ni un test d'intrusion, ni un audit de code, ni une garantie d'invulnérabilité — et nous ne le facturons pas comme tel.
Si vous avez besoin d'un test d'intrusion, il faut un prestataire qualifié pour cela. Nous vous le disons plutôt que de vous vendre autre chose.
À Lyon ou dans la métropole ? Voir la page cybersécurité d'un site à Lyon.
Trois questions qu'on nous pose
Quelle différence avec un test d'intrusion ?
Un test d'intrusion cherche à entrer. Nous regardons ce qui est déjà visible de l'extérieur. C'est plus étroit, plus rapide, et ça se fait sans votre accord technique.
Mon site est chez un prestataire, il s'en occupe déjà ?
Tant mieux. Le dossier lui est destiné : chaque constat porte l'adresse mesurée, l'heure, la gravité et la correction attendue. Il s'applique par quelqu'un d'autre que nous.
Et si tout est en ordre ?
Alors nous vous le disons, et le dossier ne vous est pas facturé.
Vous saurez en 48 h ce qu'un visiteur voit.
Douze contrôles, un dossier daté, 100 €. Sans frais si tout est en ordre.