Votre site est-il exposé à une faille connue ? Test de sécurité gratuit

Faille de sécurité, CVE, CVSS : de quoi parle-t-on ?

Une faille de sécurité (ou vulnérabilité) est une erreur dans un logiciel qui permet à quelqu’un de faire ce qu’il ne devrait pas pouvoir faire : lire des données, prendre le contrôle d’un compte ou, dans les cas les plus graves, exécuter ses propres commandes sur le serveur qui héberge votre site.

Quand une faille est découverte, elle reçoit un identifiant public, la CVE (Common Vulnerabilities and Exposures), par exemple CVE-2025-55182. Ce système existe depuis 1999 : éditeurs, autorités et entreprises désignent ainsi la même faille sans ambiguïté. La base américaine NVD, tenue par le NIST, en publie le détail.

Sa gravité est notée de 0 à 10 par le score CVSS. À partir de 9,0, la faille est dite critique. Deux autres repères comptent autant que la note : le catalogue KEV de l’agence américaine de cybersécurité (CISA), qui liste les failles réellement exploitées par des attaquants, et les alertes du CERT-FR, le centre gouvernemental français de veille et de réponse aux attaques.

Une faille exploitée et sans correctif appliqué, c’est une porte ouverte : des robots balaient Internet en continu à la recherche des sites concernés, quelle que soit la taille de l’entreprise.

Comment fonctionne ce scan de vulnérabilité passif

1. Lecture : l’outil charge votre page d’accueil comme un visiteur ordinaire, en suivant les redirections (par exemple vers https ou vers www).
2. Reconnaissance : il repère les technologies utilisées (WordPress, PHP, Next.js, Drupal, Magento, Node.js) à leurs signatures publiques.
3. Relevé des versions : il lit les numéros que le site affiche lui-même, dans la balise generator, le flux RSS, l’en-tête X-Powered-By ou les fichiers JavaScript publics.
4. Comparaison : il compare chaque version aux plages vulnérables et aux versions corrigées publiées par l’éditeur, faille par faille.
5. Verdict prudent : sans version lisible, il répond « indéterminé ». Il ne déclare jamais un site « à jour » par défaut.

Rien n’est envoyé d’autre que des requêtes ordinaires : pas de charge malveillante, pas de tentative d’exploitation, au plus une vingtaine de requêtes avec un délai et une taille de réponse limités. Les adresses internes et les réseaux privés sont refusés, et chaque analyse est limitée en nombre pour qu’on ne puisse pas s’en servir contre un site tiers.

Ce que le scanner vérifie, et ce qu’il ne peut pas vérifier

Les failles suivies : la famille app2shell

Nous appelons app2shell les failles qui donnent à un inconnu un accès au serveur d’un site, sans mot de passe : wp2shell pour WordPress, php2shell pour PHP, React2Shell pour Next.js, node2shell pour Node.js. L’outil suit aussi deux failles critiques du même niveau, sans surnom en « 2shell », sur Drupal et Magento. Toutes sont inscrites au catalogue des failles activement exploitées de la CISA.

Scanner, audit de sécurité, test d’intrusion : quelles différences ?

• Le scanner de vulnérabilité (cette page) répond à une seule question, en quelques secondes : la version affichée est-elle touchée par une faille critique connue ? C’est un premier contrôle, gratuit.
• L’audit de sécurité examine l’ensemble : configuration des serveurs, mises à jour, comptes et droits, sauvegardes, pratiques de l’équipe. Il produit un plan d’action priorisé. Voir notre offre d’audit et de cybersécurité.
• Le test d’intrusion (pentest) va jusqu’à tenter, avec votre accord écrit et dans un périmètre défini, d’exploiter les failles pour mesurer ce qu’un attaquant obtiendrait réellement. Voir notre offre de test d’intrusion.

Que faire selon le résultat

Exposé ou plus maintenu

Sauvegardez, appliquez la mise à jour indiquée, puis cherchez des signes d’intrusion. Une mise à jour ferme la faille pour l’avenir, elle ne retire pas une porte dérobée déjà posée.

À risque

La version est touchée mais une condition de la faille ne se voit pas de l’extérieur. Mettez à jour par prudence, c’est plus rapide que de vérifier la condition.

Indéterminé ou à contrôler sur le serveur

Demandez la version exacte à votre hébergeur ou à votre prestataire, ou contrôlez-la vous-même dans l’administration du site, puis comparez-la aux versions corrigées de la liste ci-dessus.

Corrigé ou non concerné

Gardez les mises à jour automatiques actives. Si le site a été exposé avant la mise à jour, un diagnostic reste utile.

Questions fréquentes