Un score de sécurité ou de performance n’est utile que s’il repose sur des vérifications réelles et débouche sur des actions concrètes. C’est le principe d’Ausculte Scan, un scanner WordPress gratuit que nous venons de mettre en ligne.
👉 Tester gratuitement un site WordPress avec Ausculte Scan
L’outil analyse une adresse publique en une quinzaine de secondes, sans compte et sans installation. Il exécute 38 contrôles répartis entre sécurité, performance, SEO technique et protection e-mail/DNS.
Pourquoi un scanner WordPress supplémentaire ?
Les outils existants sont souvent excellents dans une seule discipline : PageSpeed Insights pour les Core Web Vitals, SSL Labs pour TLS, Security Headers pour les en-têtes HTTP. Mais le propriétaire d’un petit site WordPress doit alors interpréter plusieurs rapports, comprendre leur jargon et décider seul de l’ordre des corrections.
Notre objectif n’était pas de remplacer ces plateformes spécialisées. Il était de fournir un premier diagnostic transversal, compréhensible en français, avec trois priorités immédiates et un lien vers une correction détaillée pour chaque échec.
Les contrôles de sécurité qui ont le plus de valeur
Une simple présence de HTTPS ne suffit pas. Le scanner vérifie notamment :
- la validité et l’expiration du certificat SSL ;
- le refus de TLS 1.0 et TLS 1.1 ;
- HSTS, CSP, X-Frame-Options, Referrer-Policy et Permissions-Policy ;
- l’exposition des utilisateurs via l’API REST ;
- l’énumération d’auteurs avec
?author=1; -
xmlrpc.phpet le listing des répertoires ; - les fichiers sensibles publics :
.git/HEAD,.env,wp-config.php.baketdebug.log; - les ressources HTTP chargées dans une page HTTPS.
Cette liste n’est pas théorique. Lors du premier scan de WP Admin Lab, l’outil a détecté trois problèmes sur son propre site : readme.html revenu après une mise à jour du cœur, la version WordPress publiée dans le flux RSS et un identifiant administrateur révélable via ?author=1. Les trois ont été corrigés le jour même.
Une mesure de performance sans navigateur headless
Ausculte Scan ne prétend pas remplacer Lighthouse. Un moteur PHP sur hébergement mutualisé ne peut pas mesurer fidèlement le LCP ou l’INP réel d’un utilisateur.
Il peut en revanche relever des signaux très utiles :
- TTFB du serveur ;
- compression gzip ou Brotli ;
- négociation HTTP/2 ;
- poids HTML et poids connu des ressources ;
- nombre de requêtes ;
- images lourdes ou sans dimensions ;
- lazy-loading manquant ;
- CSS et JavaScript bloquants dans le
<head>; - politique de cache navigateur.
Les ressources sont interrogées en parallèle avec curl_multi, avec un plafond strict pour éviter qu’une analyse ne devienne elle-même une charge abusive.
SEO et protection du domaine e-mail
Le rapport vérifie les fondamentaux techniques : sitemap, robots.txt, title, meta description, H1 unique, canonical, Open Graph, JSON-LD, viewport et langue du document.
Nous avons aussi ajouté une famille rarement présente dans les outils gratuits : SPF, DMARC et MX. Un site peut être parfaitement sécurisé tout en laissant son domaine être utilisé pour envoyer de faux e-mails. Afficher ce risque dans le même rapport permet de ne plus l’oublier.
La partie difficile : protéger le scanner
Accepter une URL fournie par un visiteur ouvre immédiatement un risque SSRF. Une validation par expression régulière ne suffit pas. Le moteur :
- résout les enregistrements IPv4 et IPv6 ;
- refuse les réseaux privés, réservés et loopback ;
- vérifie à nouveau l’adresse IP réellement utilisée par cURL après les redirections ;
- limite le nombre de redirections, le volume lu et le temps de connexion ;
- applique un quota par IP et un cache court par domaine.
Le scanner reste en lecture seule. Il ne tente ni mot de passe, ni exploitation, ni écriture sur le site analysé.
Les limites assumées
Un scanner externe ne voit que la surface publique. Il ne peut pas connaître les extensions obsolètes, les permissions locales, la taille des options autoload ou la configuration réelle de wp-config.php. Pour ces éléments, il faut un audit interne ou un plugin installé dans WordPress.
Le score ne doit donc pas être lu comme un certificat de sécurité. C’est un outil de triage : détecter rapidement les écarts visibles, corriger les plus coûteux, puis relancer l’analyse.
À vous de tester
L’analyse est gratuite, ne demande aucune création de compte et génère une carte partageable avec le score obtenu.
Si le rapport détecte un point discutable ou si vous avez une idée de contrôle WordPress réellement utile, les retours techniques sont les bienvenus. L’objectif est simple : rendre le premier diagnostic plus concret, pas empiler des voyants décoratifs.
Top comments (0)