Famille Sécurité

Votre site est-il exposé aux attaques les plus courantes ?

Un logiciel qui n'est plus à jour est une porte laissée ouverte. C'est ce que ce contrôle cherche d'abord.

Ce que nous contrôlons

Jusqu'à 10 points, comme sur un procès-verbal

  • S1

    PHP et faille PHP2Shell

    PHP fait tourner WordPress, PrestaShop, Drupal et Joomla. Une version sans correctif peut exposer tout le site.

    À faire : Passer sur une version de PHP maintenue.

  • S2

    Logiciel du site

    Drupal 7, Joomla 3 et PrestaShop 1.6 ne reçoivent plus de correctifs de sécurité officiels : c'est une défaillance critique.

    À faire : Prévoir une migration vers une version maintenue.

  • S3

    Connexion chiffrée (HTTPS)

    Sans HTTPS, les échanges circulent en clair.

    À faire : Activer HTTPS et rediriger http:// vers https://.

  • S4

    HSTS (HTTPS imposé au navigateur)

    Sans lui, le navigateur n'est pas tenu de rester en HTTPS.

    À faire : Demander cet en-tête à votre hébergeur.

  • S5

    En-têtes de sécurité

    Ils limitent plusieurs attaques courantes depuis le navigateur.

    À faire : Demander leur ajout à votre hébergeur.

  • S6

    Cookies de session

    Sans les protections HttpOnly et Secure, une session est plus facile à voler.

    À faire : Activer ces deux protections.

  • S7

    Versions affichées publiquement

    Un numéro de version visible est une information utile aux attaquants.

    À faire : Masquer ces numéros.

  • S8

    Contact sécurité (security.txt)

    Sans lui, un chercheur qui trouve une faille ne sait pas qui prévenir.

    À faire : Publier un fichier security.txt.

  • S9

    Extensions et thème visibles

    Nous relevons ce qui se voit de l'extérieur sur WordPress. Nous ne les comparons pas encore aux failles connues.

  • S10

    Adresse du site

    Un certificat invalide ou un serveur absent, et vos visiteurs voient une alerte ou une erreur.

    À faire : Corriger le certificat ou l'adresse.

Alerte de la CISA du 21 octobre 2026

PHP2Shell : pourquoi en parler maintenant

Deux failles, CVE-2026-109618 et CVE-2026-109619, ont été publiées sous ce nom. L'agence américaine CISA les a inscrites le 26 octobre à son catalogue des failles activement exploitées.

Protégé
PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12, ou une version plus récente de la même branche.
À corriger
Une version antérieure de ces mêmes branches.
Pas de correctif officiel
PHP 8.1 et les versions antérieures. Il faut changer de version.

Le contrôle indique « résultat inconnu » ? Votre site a bien répondu, mais son serveur ne communique pas sa version de PHP. C'est une bonne pratique, mais elle empêche de conclure de l'extérieur. Vous pouvez vérifier vous-même. Dans WordPress : Outils, Santé du site, Informations, Serveur. Pour les autres logiciels : dans l'espace client de votre hébergeur.

Ce que nous ne contrôlons pas

Le contrôle gratuit ne dit pas si votre site est déjà piraté, et ne compare pas encore vos extensions aux failles connues. Il ne remplace ni une sauvegarde ni un audit de sécurité.

Voyez ce que votre site révèle

Gratuit, sans inscription, sans e-mail. Pour aller plus loin, voir les offres.