Scanner son site web : guide complet pour analyser sécurité et performance

Scanner son site web : guide complet pour analyser sécurité et performance

Un scan de site web révèle en quelques secondes ce qui échappe aux vérifications quotidiennes : certificat SSL qui expire dans dix jours, version de CMS exposant une vulnérabilité connue, page de contact retournant une erreur 404, score Lighthouse qui s'est dégradé depuis le dernier déploiement. Corriger ces anomalies avant que le client les signale, c'est le travail de fond d'une agence sérieuse.

Pour une agence qui gère dix, vingt ou cinquante sites, la question ne se limite pas à « comment scanner un site web ». Elle devient : comment garantir qu'aucun site du parc ne passe à travers les mailles, sans multiplier les interventions manuelles ? Ce guide répond aux deux questions, du premier scan gratuit en ligne à la supervision continue industrialisée.

1. Pourquoi scanner son site web régulièrement ?
2. Ce que révèle un scan de site web
3. Comment scanner un site web en ligne, étape par étape
4. Automatiser les scans sur un parc en agence

Pourquoi scanner son site web régulièrement ?

Un site web n'est pas un objet statique. Chaque mise à jour de plugin, chaque renouvellement de certificat, chaque modification de configuration crée une fenêtre où une anomalie peut s'installer silencieusement. Les problèmes les plus coûteux ne sont pas ceux qui font tomber le site — ceux-là se voient immédiatement. Ce sont les dégradations discrètes :

• Certificat SSL expiré : le navigateur affiche un avertissement rouge avant même que la page se charge. Le visiteur repart ; le client appelle.
• Vulnérabilité connue sur un plugin : une CVE publiée sur WordPress.org ou FriendsOfPresta met des heures à se propager dans les bases de sécurité. Le temps de l'identifier manuellement sur un parc de trente sites, le problème est déjà exploitable.
• Pages en 404 présentes dans le sitemap : Google les découvre à la prochaine exploration et dilue le budget de crawl, ce qui peut faire reculer des pages stratégiques dans les résultats de recherche.
• Score de performance dégradé : un plugin de cache mal configuré après une mise à jour peut faire chuter le LCP (Largest Contentful Paint) sans que personne ne s'en aperçoive avant le bilan mensuel.

Sur la fréquence, Sucuri — spécialiste reconnu de la sécurité web — préconise a minima un scan distant hebdomadaire et un scan serveur mensuel, avec un scan supplémentaire immédiatement après toute installation ou mise à jour d'extension. Pour une agence multi-sites, cette cadence appliquée manuellement à chaque site devient rapidement ingérable — c'est là que l'automatisation change l'équation.

Le coût d'un incident non anticipé se mesure en temps d'intervention, en perte de confiance du client et, pour un site e-commerce, en chiffre d'affaires directement manqué pendant l'interruption. Un scan régulier ne garantit pas l'absence de problème, mais il réduit le délai entre l'apparition d'une anomalie et sa correction.

Ce que révèle un scan de site web

Un scanner sérieux n'inspecte pas uniquement la disponibilité de la page d'accueil. Il couvre plusieurs dimensions en parallèle : sécurité des composants, métriques de performance et état des certificats.

Sécurité et vulnérabilités

Sur un site WordPress, un scan couvre jusqu'à 19 contrôles de sécurité : intégrité des fichiers core (croisée avec WordPress.org), versions des extensions comparées à la base WPScan, configuration des en-têtes HTTP, et analyse de réputation externe via Sucuri. Pour PrestaShop, les contrôles sont au nombre de 14, en s'appuyant sur la base FriendsOfPresta. Pour les applications Composer — Symfony, Sylius et Laravel —, 10 contrôles sont effectués par croisement avec les advisories de sécurité Packagist.

L'OWASP définit les scanners de vulnérabilités web comme des « outils automatisés qui inspectent les applications web, généralement depuis l'extérieur, pour y détecter des failles de sécurité » — dont les injections SQL, le cross-site scripting, les traversées de répertoire et les mauvaises configurations serveur. Ces catégories correspondent directement aux contrôles appliqués sur les technologies que vous gérez au quotidien.

Le score retourné est normalisé sur les contrôles réellement mesurables pour la technologie détectée. Cette approche évite le biais d'un rembourrage synthétique : un site WordPress et un site Symfony reçoivent chacun un score sur 100 calculé sur leurs propres contrôles — la comparaison entre sites de technologies différentes reste cohérente.

Performance et Core Web Vitals

Le scan de performance s'appuie sur Google PageSpeed Insights (Lighthouse). Les métriques surveillées incluent le LCP (Largest Contentful Paint), le CLS (Cumulative Layout Shift) et le FID (First Input Delay) — les trois indicateurs qui influencent directement le classement mobile. Un score Lighthouse en baisse est souvent le premier signe d'une image oubliée dans le pipeline de génération ou d'un plugin de cache mal configuré après une mise à jour.

Ces métriques sont mesurées sur la configuration réelle du site au moment du scan. Elles reflètent l'état observable de la page, pas un potentiel théorique.

Disponibilité et certificats

La supervision de disponibilité surveille le site en continu, entre les scans de sécurité périodiques. Une sonde HTTP vérifie que le site répond, avec une double confirmation avant de déclencher l'alerte — deux échecs consécutifs sont requis pour éviter les faux positifs liés aux pics de charge transitoires. Les contrôles complémentaires incluent la validité du certificat SSL et la date d'expiration du domaine : deux points d'arrêt brutaux que les clients oublient régulièrement de renouveler à temps.

Comment scanner un site web en ligne, étape par étape

Sentinelo propose un outil de scan gratuit en ligne, accessible sans inscription, avec un quota horaire. Voici comment en exploiter les résultats.

Étape 1 — Lancer le scan

Entrez l'URL racine du site avec son protocole : https://exemple.fr. Le scanner analyse l'URL depuis l'extérieur, comme le ferait un visiteur ou un moteur de recherche. Il ne nécessite pas d'accès FTP ni d'agent installé sur le serveur pour ce premier scan distant.

La technologie du site est prise en compte pour sélectionner l'ensemble de contrôles pertinents. Un site sans CMS reconnu fait tout de même l'objet des vérifications génériques : en-têtes HTTP, certificat SSL, performance Lighthouse.

Étape 2 — Lire le score normalisé

Le résultat affiche un score global et une décomposition par catégorie (sécurité, performance, disponibilité). Chaque contrôle en échec est listé avec son niveau de priorité (critique, élevé, moyen, informatif), une description précise de ce qui a été détecté, et la correction recommandée. Le score global reflète l'état du site au moment du scan — pas une moyenne historique.

Un résultat à 100 ne signifie pas que le site est imperméable à toute attaque : il signifie que les contrôles automatisés mesurables n'ont pas détecté d'anomalie. C'est une base de travail, pas un certificat définitif.

Étape 3 — Prioriser les alertes

Commencez par les contrôles marqués critiques : configurations qui exposent directement des données ou vulnérabilités pour lesquelles un advisory public est disponible. Passez ensuite aux alertes élevées (en-têtes de sécurité absents, version de CMS révélée), puis aux points d'amélioration de performance.

Pour les sites WordPress, le guide sur la détection et correction des plugins vulnérables couvre la lecture des rapports WPScan et la procédure de mise à jour sécurisée. Pour un audit de la configuration serveur, le guide sur le durcissement WordPress pour agences détaille les contrôles fichiers et la configuration .htaccess.

Automatiser les scans sur un parc en agence

Un scan ponctuel répond à une question précise : quel est l'état du site à cet instant ? Une agence qui maintient un parc a besoin d'une réponse différente : quel site a régressé depuis la semaine dernière, et depuis combien de temps ?

Supervision continue versus scan ponctuel

La différence fondamentale est la temporalité. Un scan ponctuel est un instantané. Une supervision continue génère une série temporelle : chaque exécution hebdomadaire s'ajoute à l'historique, ce qui permet de corréler une dégradation avec un événement précis — déploiement, mise à jour de plugin, changement d'hébergeur.

Sur un parc de trente sites, lancer manuellement un scan par site chaque semaine représente une charge opérationnelle non négligeable. L'automatisation déplace cette charge : vous recevez une alerte uniquement quand un site décroche, pas à chaque exécution de routine.

Alertes multi-canaux et historique 13 mois

Une supervision efficace sur un parc d'agence doit prendre en charge plusieurs canaux d'alerte selon la nature du site et les préférences du client :

• E-mail — pour les bilans et les alertes non urgentes ;
• Slack ou Teams — pour les alertes critiques nécessitant une réaction rapide de l'équipe ;
• Discord — courant dans les agences avec une culture dev ;
• Webhook — pour déclencher automatiquement une action dans l'outil de ticketing (création d'un ticket, escalade).

L'historique conservé sur 13 mois permet de répondre à une question difficile : le site était-il déjà vulnérable lors du dernier bilan mensuel envoyé au client ? C'est une information précieuse en cas de litige ou d'audit externe.

Sentinelo pour les agences multi-sites

La plateforme Sentinelo pour agences intègre la supervision de disponibilité, les scans de sécurité hebdomadaires et la mesure de performance Lighthouse dans un tableau de bord unique. Les scans s'exécutent automatiquement chaque semaine et peuvent être relancés à la demande après une mise à jour critique. La sonde de disponibilité est configurée par défaut toutes les 5 minutes — ajustable de 1 à 60 minutes par site — et applique une double confirmation avant toute alerte.

Pour les agences qui proposent la maintenance sous leur propre marque, les alertes e-mail sont envoyées sous le nom de l'agence. Les rapports mensuels PDF, personnalisés avec le logo et les couleurs de l'agence, agrégeant disponibilité, sauvegardes et résultats de scan, sont envoyés directement aux clients finaux. Le portail accessible sur app.sentinelo.fr affiche le logo de l'agence et offre à chaque client une vue sur la santé de son site.

Pour aller plus loin sur la gestion d'un grand volume de sites, le guide sur le monitoring uptime de 50 sites clients détaille la gestion des seuils d'alerte, les fenêtres de maintenance et l'organisation des notifications à grande échelle.

Quel budget pour couvrir un parc entier ?

L'offre agence démarre à partir de 5 sites. Pour un parc de 5 à 10 sites, le tarif est de 49 € HT/site/mois. Le palier GROWTH (11 à 30 sites) descend à 45 € HT/site/mois, puis 39 € HT/site/mois au palier SCALE (31 à 60 sites). Le prix est identique quelle que soit la technologie — un site WordPress et un site Symfony coûtent le même tarif mensuel. L'essai gratuit de 14 jours, sans carte bancaire, permet de connecter un premier site et de vérifier l'intégration avec les outils déjà en place dans l'agence.

Conclusion

Scanner un site web n'est pas une action ponctuelle réservée aux audits annuels. C'est une vérification régulière, au même titre qu'une sauvegarde ou une mise à jour — à la différence qu'elle révèle ce que les autres opérations ne montrent pas : l'état réel du site tel que le voit un visiteur, un moteur de recherche ou un attaquant.

Pour une agence, le passage de l'audit manuel à la supervision automatisée est la condition pour maintenir une cadence de contrôle viable sur l'ensemble du parc. Commencez par un scan gratuit sur le site le plus sensible de votre portefeuille — les résultats fournissent une première liste d'actions concrètes en moins de deux minutes.