Les 85 points contrôlés par l'audit

Chaque point est une règle écrite, avec sa source exacte. Ses sources : l'ANSSI, l'IETF, la loi, la CNIL, la documentation de Google. Une règle dont la source n'est pas vérifiée n'entre ni dans le rapport, ni ici.

• Cybersécurité externe : 40 règles
• Référencement et moteurs de réponse : 20 règles
• RGPD visible depuis le site : 25 règles

Référentiel 2026.11.20, publié le 06/11/2026. Une version publiée ne se modifie jamais : chaque rapport dit sur quelle version il a été évalué.

Cybersécurité externe

Ce qu'un attaquant voit de votre site sans rien forcer : messagerie, certificats, en-têtes, DNS, versions annoncées.

Sous-domaines publiés

• Les sous-domaines publiés servent un certificat valide Moyenne
• Les serveurs n'annoncent pas leur version logicielle Mineure

Messagerie

• Un enregistrement SPF est publié Majeure
• Un seul enregistrement SPF Majeure
• Une politique DMARC est publiée Majeure
• La politique DMARC demande un traitement des courriels non authentifiés Moyenne
• La politique DMARC demande des rapports agrégés Mineure
• Une clé DKIM est trouvée sur un sélecteur courant Pour information
• SPF : 10 requêtes DNS au plus Majeure
• SPF : 2 requêtes vides au plus Moyenne
• SPF : pas de terminaison neutre (?all) Majeure
• SPF : pas de terminaison permissive (+all) Majeure
• SPF en ~all : politique DMARC stricte Pour information
• DKIM : clés RSA de 1024 bits au moins Majeure
• DKIM : clés RSA de 2048 bits au moins Moyenne
• DKIM : aucune clé réservée à SHA-1 Majeure
• Politique MTA-STS publiée Pour information
• Rapports TLS (TLS-RPT) demandés Pour information
• DMARC : politique des sous-domaines (sp, np) Pour information

Certificats et chiffrement

• Le certificat du site est valide Majeure
• Les versions obsolètes de TLS sont refusées Majeure
• TLS 1.3 est proposé Mineure
• En TLS 1.2, seules des suites AEAD sont acceptées Mineure

En-têtes de sécurité

• Le site en http:// redirige vers https:// Majeure
• L'en-tête HSTS est présent Moyenne
• Une politique de sécurité du contenu (CSP) est déclarée Moyenne
• La CSP n'autorise pas de contenu en ligne Mineure
• L'en-tête X-Content-Type-Options est présent Mineure
• Le site interdit son inclusion dans un cadre tiers Moyenne
• Une politique de référent est déclarée Mineure
• Les cookies du serveur portent les attributs de sécurité Mineure
• HSTS : un an au moins, sous-domaines compris Pour information

DNS

• DNSSEC est activé Mineure
• Un enregistrement CAA restreint les autorités de certification Mineure
• Au moins deux serveurs de noms Mineure
• Un fichier security.txt est publié Pour information
• Aucun sous-domaine publié ne pointe vers une cible disparue Moyenne

Versions annoncées

• Versions annoncées antérieures aux dernières versions corrigées connues Pour information
• Aucun composant annoncé en fin de vie Pour information
• jQuery hors de la plage touchée par les CVE-2020-11022 et CVE-2020-11023 Pour information

Référencement et moteurs de réponse

Ce qui vous rend trouvable par les moteurs de recherche, et citable par les moteurs de réponse.

Référencement

• La page d'accueil a un titre Moyenne
• La page d'accueil a une meta description Mineure
• La page d'accueil comporte un titre de premier niveau Pour information
• Une URL canonique est déclarée Pour information
• La page d'accueil est indexable Majeure
• robots.txt répond correctement Moyenne
• Un sitemap XML est accessible Pour information
• Les images ont un texte alternatif Mineure
• Données structurées d'organisation Pour information
• Balises Open Graph Mineure
• Affichage adapté au mobile Moyenne
• Chaînes de redirection des pages lues Pour information
• Aucun lien cassé vers les pages lues Mineure

Accessibilité

• La langue de la page est déclarée Mineure

Performance

• Temps de réponse du serveur Mineure
• Affichage du contenu principal (LCP, mesure ponctuelle de laboratoire) Mineure
• Stabilité de l'affichage (CLS, mesure ponctuelle de laboratoire) Mineure

Moteurs de réponse

• Les robots des moteurs de réponse peuvent lire le site Mineure
• Fichier llms.txt Pour information
• Le texte est présent sans JavaScript Moyenne

RGPD visible depuis le site

Ce que la CNIL et vos visiteurs lisent sur le site : mentions, information, cookies et consentement.

Mentions légales

• Les mentions légales sont accessibles Majeure
• Les mentions identifient l'éditeur Majeure
• Les mentions nomment le directeur de la publication Moyenne
• Les mentions identifient l'hébergeur Moyenne

Information des personnes

• Une politique de confidentialité est accessible Majeure
• Identité du responsable du traitement Majeure
• Coordonnées du délégué à la protection des données Pour information
• Finalités du traitement indiquées Majeure
• Destinataires des données Moyenne
• Transferts hors Union européenne Pour information
• Durées de conservation Moyenne
• Droits des personnes Majeure
• Droit de réclamation auprès de la CNIL Moyenne

Cookies et traceurs

• Aucun traceur soumis au consentement avant le choix Majeure
• Un recueil du consentement est présenté Majeure
• Refuser est aussi simple qu'accepter Majeure
• Le refus est respecté Majeure
• Mesure d'audience exemptée : durée de vie des traceurs Mineure
• Les services tiers sont nommés dans l'information Moyenne
• Mesure d'audience sans consentement Pour information
• Le refus a la même visibilité que l'acceptation Moyenne
• Accès au site subordonné au consentement (cookie wall) Pour information
• Aucune case cochée d'avance dans le panneau Majeure
• Le consentement se retire à tout moment Moyenne
• Cookies tiers non reconnus avant le choix Pour information