SAASCHECKUP · KLYVIA LABS
Audit de sécurité web : HTTPS et en-têtes expliqués
Un audit de sécurité passive examine ce qu’un site expose publiquement, sans exploiter de vulnérabilité. Il sert à repérer des défauts de configuration et à préparer une vérification proportionnée.
Commencer par HTTPS
Le chiffrement protège les échanges entre le navigateur et le serveur. Vérifiez que les pages publiques utilisent HTTPS et que les anciennes adresses HTTP redirigent vers leur version sécurisée. Une réponse HTTPS correcte ne démontre pas que les comptes, la base de données ou les traitements internes sont sécurisés. La sécurité d’une application dépend aussi de composants qui ne sont pas visibles depuis l’extérieur.
Comprendre les en-têtes de protection
Content-Security-Policy définit notamment les sources de scripts autorisées. X-Content-Type-Options limite certaines interprétations de type MIME. Les protections contre l’intégration dans un cadre et la politique de référent répondent à d’autres risques. Leur pertinence dépend de l’application. Une politique présente mais trop permissive n’apporte pas les mêmes protections qu’une politique testée et adaptée.
Exemple pédagogique : une CSP absente
Si aucune CSP n’est observée, vérifiez à la fois les en-têtes et les éventuelles balises meta. Établissez l’inventaire des scripts, styles, images et connexions nécessaires. Testez ensuite une politique adaptée dans un environnement de recette, ou commencez par un mode Report-Only avant l’application effective. Copier une politique très restrictive sans tester peut bloquer la connexion ou le paiement. Cet exemple n’implique pas qu’une attaque a été constatée.
Classer les observations sans exagérer
La présence d’un composant public, un en-tête manquant et une vulnérabilité exploitable ne sont pas des constats équivalents. Une preuve utile indique la réponse reçue et l’URL concernée. Un contrôle non exécuté reste inconnu. SaaSCheckup documente les signaux de sécurité passive accessibles ; il ne constitue ni un pentest, ni une analyse du code privé, ni une certification de conformité.
Vérifier la correction
Rejouez le contrôle sur la réponse réellement servie, puis testez les parcours concernés sur mobile et ordinateur. Vérifiez les erreurs de console, les ressources bloquées et les intégrations légitimes. Pour des soupçons touchant l’authentification, les droits d’accès ou des données sensibles, prévoyez une revue interne autorisée. Le rapport public aide à prioriser cette intervention sans démontrer à lui seul l’absence de risques.
Pour approfondir
Passer au diagnostic de votre site
Free : 3 audits gratuits à vie par compte vérifié. Premium : 19,90 € TTC par audit, sans abonnement.
Périmètre des contrôles · Comparer les formules