Scan de sécurité gratuit : les premiers constats en quelques secondes
Entrez l’URL de votre site et votre e-mail : nous contrôlons passivement le HTTPS, les en-têtes de sécurité, les cookies, deux fichiers sensibles courants et les secrets visibles dans le code du navigateur. Les constats s’affichent tout de suite ; un humain relit et vous écrit sous 24 h ouvrées. Réservé aux sites dont vous êtes responsable.
La plupart des « scanners gratuits » sont des formulaires de contact déguisés ou des scores sur 100 qui ne disent rien de votre risque réel. Celui-ci affiche des constats précis, que vous pouvez vérifier un par un, et dit clairement ce qu’il ne couvre pas.
Il détecte des problèmes que les applications générées par l’IA présentent régulièrement : clés secrètes envoyées au navigateur, fichiers de configuration publiés par erreur, cookies de session non protégés, en-têtes de sécurité absents.
Lancer le scan
Compte quelques secondes. Vous devez être responsable du site ou autorisé à le tester.
Ce que le scan contrôle
- Transport. HTTPS actif, redirection, HSTS.
- En-têtes de sécurité. CSP, protection contre le clickjacking, nosniff, Referrer-Policy, versions divulguées.
- Cookies. Drapeaux Secure, HttpOnly et SameSite sur les cookies posés par la page d’accueil.
- Fichiers sensibles. Présence d’un fichier .env ou d’un dépôt .git accessibles publiquement.
- Secrets dans le navigateur. Clés Stripe, AWS, OpenAI, Anthropic, GitHub et clé Supabase « service_role » dans le HTML et les scripts du site.
Le rapport humain sous 24 h
En plus de l’aperçu, un humain relit les résultats et vous écrit.
Lecture des constats
Ce qui compte vraiment pour votre activité, ce qui peut attendre, ce qui est un faux positif.
Correctifs rapides
Les réglages applicables en moins d’une heure sur votre hébergeur ou votre plateforme.
Ce qui reste à tester
Les zones que le scan ne peut pas voir et si l’audit complet se justifie dans votre cas — y compris quand il ne se justifie pas.
Ce que ce scan ne peut pas dire
Il ne se connecte à aucun compte, ne teste ni les droits d’accès entre utilisateurs, ni la base de données, ni les API, ni les fonctions IA, ni le code. Un résultat « rien à signaler » est une bonne nouvelle sur la surface visible, pas un certificat de sécurité. Les tests en profondeur demandent une autorisation écrite et un périmètre : c’est l’audit.
Questions fréquentes
Le scan est-il légal sur mon site ?
Oui, sur un site dont vous êtes propriétaire ou pour lequel vous avez l’autorisation écrite de tester. Le scan se limite à des requêtes ordinaires (une page, ses scripts, deux chemins connus) et n’envoie aucune charge malveillante. Tester un site tiers sans autorisation est en revanche une infraction : la case d’autorisation du formulaire est obligatoire.
Que voyez-vous de mon site ?
Uniquement ce qu’un navigateur et un robot d’indexation voient : la page d’accueil, ses scripts publics et la réponse de deux adresses connues (/.env et /.git/HEAD). Nous ne conservons ni le contenu des pages ni aucune valeur secrète : seules des constatations (« une clé commençant par sk_live est visible ») sont enregistrées, avec la clé masquée.
Un scan sans problème signifie-t-il que mon application est sûre ?
Non. Ce scan ne se connecte pas, ne teste pas les droits d’accès entre utilisateurs, ni votre base de données, ni vos API. Ce sont justement les failles les plus graves des applications générées par IA, et elles demandent un test sur périmètre signé : l’audit.
Que faites-vous de mon e-mail ?
Nous l’utilisons pour vous envoyer l’analyse demandée et, si vous le souhaitez, vous proposer l’audit. Pas de newsletter automatique ni de séquence commerciale. Voir la politique de confidentialité.