Je passe mes journées à expliquer aux petites entreprises comment protéger leur site. Un soir, je me suis posé la question qui fâche : et le mien, il tient la route ? J’ai donc fait ce que ferait un pirate en repérage. Résultat : rien de catastrophique, mais deux vraies portes ouvertes, et une poignée de détails que j’aurais reprochés à n’importe quel client. Tout le principal a été réparé dans la soirée.
Le cordonnier est toujours le plus mal chaussé, dit le proverbe. J’ai voulu vérifier s’il s’appliquait à moi. Voici ce que j’ai trouvé sur pavillon-noir.tech, pourquoi chaque point compte aussi pour votre site, et ce que j’ai changé. À la fin, je vous donne quatre outils gratuits pour faire le même test chez vous en dix minutes.
01Le principe : faire le tour de la maison, sans casser de vitre
Imaginez un cambrioleur qui fait le tour d’une maison en pleine journée. Il ne force rien. Il regarde quelles fenêtres sont entrouvertes, si le nom du propriétaire est écrit sur la boîte aux lettres, si la porte de derrière a une serrure. C’est exactement ce que j’ai fait avec mon site : je l’ai observé de l’extérieur, comme n’importe qui sur Internet peut le faire, et j’ai noté tout ce qui pourrait faciliter la vie d’un pirate.
Concrètement, j’ai regardé l’adresse du site, sa connexion sécurisée (le fameux cadenas), les réglages de la messagerie liée au nom de domaine, et ce que le site raconte sur lui-même à qui sait poser les questions. Environ soixante-dix requêtes, bien espacées, en quelques minutes. Puis une soirée de corrections.
Soyons honnêtes.Ce n’était pas un test d’intrusion : je n’ai essayé aucun mot de passe, je n’ai exploité aucune faille, je n’ai rien modifié pendant le test. Ce n’était pas non plus un audit qualifié PASSI (le label délivré par l’ANSSI, l’agence nationale de cybersécurité, aux auditeurs agréés). C’est un premier contrôle, léger et sans risque. Il ne prouve pas qu’un site est inviolable, mais il repère vite les erreurs les plus courantes.
02Le bilan, sans maquillage
J’ai relevé 14 points. Je les ai classés comme je le fais pour un client, du plus urgent au simple conseil :
| Niveau | Nombre | En clair |
|---|---|---|
| Critique | 0 | Rien qui permette d’entrer directement. Ouf. |
| Élevé | 2 | De vraies portes ouvertes, à fermer sous quelques jours. |
| Moyen | 4 | Rien de grave seul, mais cela facilite une attaque. |
| Faible | 5 | De l’hygiène : ranger, ne pas trop en dire. |
| Information | 3 | Pas un risque, juste une bonne pratique à suivre. |
Les deux points « élevés » et l’essentiel des points moyens et faibles sont corrigés. Il me reste quelques réglages de finition, que je termine dans les prochains jours. Voici le détail des cinq chantiers principaux.
03Le check-up en 5 points
Le site s’ouvrait encore sans cadenas
Priorité hauteCe que j’ai vu. En tapant l’adresse avec « http » au lieu de « https », le site s’affichait normalement, sans basculer vers la version sécurisée. Le « s » de https, c’est le cadenas dans la barre d’adresse : il signifie que ce qui circule entre le visiteur et le site est chiffré, donc illisible pour un curieux.
Pourquoi c’est dangereux pour vous. Sur un Wi-Fi public (gare, café, hôtel), une personne mal intentionnée peut lire ou modifier une page qui circule sans chiffrement, par exemple remplacer un bouton de contact par un lien piégé. Et Google n’aime pas les sites qui existent en deux versions.
Ce que j’ai fait. J’ai mis en place une redirection permanente (on dit « 301 » dans le métier) : quelle que soit l’adresse tapée, le visiteur atterrit automatiquement sur la version avec cadenas.
N’importe qui pouvait envoyer des e-mails « de ma part »
Priorité hauteCe que j’ai vu. Mon nom de domaine n’avait ni DMARC ni DKIM. Derrière ces sigles barbares, deux idées simples. DKIM, c’est une signature invisible apposée sur chaque e-mail que j’envoie, qui prouve qu’il vient bien de moi. DMARC, c’est une consigne publique adressée aux messageries du monde entier : « si un e-mail prétend venir de chez moi sans preuve, ne le laissez pas passer ».
Pourquoi c’est dangereux pour vous. Sans ces protections, un escroc peut envoyer un e-mail qui affiche une adresse en @pavillon-noir.tech, et rien ne dit à Gmail ou Outlook de s’en méfier. Pour vous, c’est la porte ouverte aux fausses factures ou aux faux changements de RIB envoyés à vos clients… en votre nom. Gmail et Yahoo exigent d’ailleurs désormais DMARC des expéditeurs.
Ce que j’ai fait. J’ai activé la signature DKIM chez mon hébergeur, puis publié une règle DMARC en mode « quarantaine » : un e-mail qui usurpe mon adresse part désormais dans les indésirables du destinataire au lieu d’arriver dans sa boîte de réception. Mes vrais e-mails, eux, portent la signature et passent normalement.
Une vieille porte de service, et le nom sur la boîte aux lettres
Priorité moyenneCe que j’ai vu. Deux constats qui vont ensemble. D’abord, une ancienne fonction de WordPress appelée XML-RPC était ouverte. C’est une vieille porte de service, prévue à l’origine pour publier depuis des applications externes. Ensuite, l’identifiant de mon compte administrateur était lisible publiquement, via une page technique du site et la page « auteur » des articles.
Pourquoi c’est dangereux pour vous. Pour entrer, un pirate a besoin de deux choses : l’identifiant et le mot de passe. Si l’identifiant est affiché, il ne lui reste que le mot de passe à deviner. Et cette vieille porte permet justement aux robots d’essayer des centaines de mots de passe d’un seul coup, en passant à côté des protections de la page de connexion habituelle. Votre site WordPress a très probablement les deux, par défaut.
Ce que j’ai fait. J’ai fermé la porte XML-RPC, dont un blog comme le mien n’a aucun besoin. J’ai aussi masqué l’identifiant administrateur : il n’apparaît plus nulle part publiquement. Un robot qui veut tenter sa chance doit désormais deviner les deux.
Un site trop bavard
Priorité faibleCe que j’ai vu. Certains dossiers du site affichaient leur contenu comme une liste de fichiers, à la manière d’un explorateur Windows ouvert sur la rue. Et le site annonçait fièrement les numéros de version de ses logiciels (WordPress et PHP, le langage qui fait tourner le site).
Pourquoi c’est dangereux pour vous. Une liste de fichiers ouverte permet de découvrir des documents qui n’étaient pas censés être publics : un brouillon d’image, un export oublié, une sauvegarde. Quant aux numéros de version, ils servent de catalogue aux robots : le jour où une faille est publiée sur une version, ils savent exactement quels sites viser en premier.
Ce que j’ai fait. J’ai bloqué l’affichage du contenu des dossiers (le visiteur obtient maintenant un simple « accès refusé ») et j’ai retiré les numéros de version visibles. Mes logiciels étaient à jour, mais inutile de le crier sur les toits : demain, ils ne le seront peut-être plus pendant quelques jours.
Le ménage : vieux liens, liens morts et mises à jour
HygièneCe que j’ai vu. En passant le site au peigne fin, j’ai trouvé 14 liens anciens encore en « http » dans le contenu, quelques liens morts dans le menu et le pied de page, ainsi qu’une extension et cinq thèmes qui attendaient leur mise à jour.
Pourquoi c’est dangereux pour vous. Un lien en http, c’est un petit passage non chiffré dans un site qui l’est. Un lien mort donne une image négligée, à vos visiteurs comme à Google. Et un thème ou une extension pas à jour, même inutilisé, reste un morceau de code présent sur votre serveur : c’est l’une des premières portes d’entrée sur les sites WordPress.
Ce que j’ai fait. J’ai converti les 14 liens en https, corrigé les liens morts du menu et du pied de page, et appliqué toutes les mises à jour en attente.
04Ce qui tenait déjà la route
Tout n’était pas à refaire, loin de là. Et c’est aussi une bonne nouvelle pour vous : ces protections sont souvent simples à obtenir.
- WordPress à jourLa dernière version était installée. C’est la protection numéro un, et elle est gratuite.
- Un cadenas moderneLe chiffrement n’accepte que les versions récentes et solides (TLS 1.2 et 1.3), pas les anciennes, cassées depuis longtemps.
- DNSSEC activéUne sorte de tampon officiel sur l’annuaire d’Internet, qui empêche de détourner les visiteurs vers un faux site.
- Les fichiers sensibles fermésLes fichiers de configuration et l’historique du code, ceux qui contiennent des secrets, étaient bien refusés aux curieux.
- Des cookies protégésLes petits fichiers qui gardent la session ouverte ne circulent qu’en version chiffrée et ne sont pas lisibles par un script piégé.
05Faites le test sur votre site en 10 minutes
Quatre outils publics, quatre questions simples
- SSL Labs : tapez l’adresse de votre site. Vous obtenez une note de A à F sur votre cadenas. En dessous de A, parlez-en à votre prestataire.
- Security Headers : il vérifie les consignes de sécurité que votre site donne aux navigateurs. Une note rouge n’est pas une catastrophe, mais c’est une piste d’amélioration facile.
- MxToolbox, test DMARC : tapez votre nom de domaine (la partie après le @ de vos e-mails). Si l’outil répond qu’il ne trouve pas d’enregistrement DMARC, n’importe qui peut écrire en votre nom.
- Internet.nl : un bilan complet du site et de la messagerie en une page, avec des explications claires. Il existe une version en anglais, très lisible.
Dernier test, sans outil : tapez l’adresse de votre site en commençant par http:// (sans le s). Si le cadenas n’apparaît pas tout seul, vous avez le même problème que moi.
Une règle d’or.Ne testez que votre propre site, ou celui d’un client qui vous a donné son accord par écrit. Ces outils sont publics et inoffensifs, mais la démarche compte : on ne fait pas le tour de la maison du voisin avec une lampe torche.
06Ce que j’en retiens
Aucune de ces failles n’était spectaculaire. Ce sont des réglages par défaut que personne ne pense à changer, et c’est exactement ce que cherchent les robots qui scannent Internet en permanence. Ils ne visent pas votre entreprise en particulier : ils cherchent la porte entrouverte, où qu’elle soit.
La bonne nouvelle, c’est que corriger m’a pris une soirée, sans rien acheter. Si moi, dont c’est le métier, j’avais laissé ces portes ouvertes, il y a de bonnes chances que votre site en ait aussi. Faites le test ci-dessus, et si les résultats vous parlent chinois, prenez le temps de lire chaque point, c’est souvent plus simple qu’il n’y paraît.
Un pirate commence toujours par faire le tour de la maison : faites-le avant lui, fermez les portes évidentes, et gardez vos logiciels à jour.
Pavillon Noir — La cyber, sans le charabia.
Outils et sources
Liens vérifiés le 4 novembre 2026
