Nous publions notre méthodologie en détail. Parce que la transparence est notre meilleur argument commercial. Chaque audit Audit-Secu mobilise 5 moteurs d'analyse, chacun spécialisé dans un domaine précis de la sécurité web. Cette page détaille notre processus de bout en bout — ce que nous testons, comment nous le testons, et ce que nous ne testons pas.
De la saisie de votre URL à la réception du rapport, tout est automatisé. Huit étapes, aucune intervention humaine.
Le client entre l’URL de son site web dans le formulaire. Pour de meilleurs résultats, autoriser notre IP sur son pare-feu.
→Le client prouve qu’il est propriétaire du domaine audité via un fichier de vérification ou un enregistrement DNS.
→Règlement sécurisé en ligne. Le scan est déclenché automatiquement dès la confirmation du paiement.
→Identification du CMS, du serveur web, des technologies et des frameworks utilisés par le site cible.
→5 scanners s’exécutent en parallèle pendant 10 à 30 minutes selon la taille du site.
→Dédoublonnage des résultats, classification par sévérité CVSS 3.1 et calcul du score global.
→Génération du rapport HTML interactif avec score, vulnérabilités détaillées et recommandations priorisées.
→Le rapport est converti en PDF et envoyé directement dans votre boîte mail pour consultation immédiate.
L’ensemble du processus est automatisé de bout en bout. Aucun humain n’intervient entre la commande et la livraison du rapport. Cette automatisation intégrale garantit un délai de livraison inférieur à 2 heures et une reproductibilité parfaite des résultats d’un audit à l’autre.
Chaque moteur est spécialisé dans un domaine précis. Leur combinaison élimine les angles morts et maximise la couverture de votre surface d’attaque.
OWASP ZAP (Zed Attack Proxy) version 2.17.0 est le scanner de référence de l’OWASP Foundation, l’organisme international qui définit les standards de sécurité des applications web. C’est le premier moteur à s’exécuter dans notre pipeline. Il commence par un spider — un crawl systématique de toutes les pages accessibles de votre site — puis lance une analyse passive des headers HTTP, des cookies et des configurations serveur. Enfin, une analyse active teste dynamiquement les formulaires et les paramètres pour détecter les vulnérabilités exploitables.
Nuclei est un moteur de templates développé par ProjectDiscovery, spécialisé dans la détection de vulnérabilités connues (CVE). Il dispose de plus de 15 000 templates communautaires mis à jour en continu, auxquels s’ajoutent nos templates custom Audit-Secu développés spécifiquement pour les CMS francophones (PrestaShop, Joomla, Drupal). Chaque template vérifie la présence d’une vulnérabilité précise en envoyant une requête calibrée et en analysant la réponse du serveur. C’est l’outil le plus efficace pour identifier les CVE spécifiques à votre stack technique.
Notre pipeline CMS démarre par CMSeeK, un détecteur capable d’identifier plus de 170 systèmes de gestion de contenu différents. Une fois le CMS identifié, un scanner dédié prend le relais : WPScan pour WordPress, des scanners spécialisés pour PrestaShop, Joomla, Drupal, Magento, Shopify, Wix, Odoo et Craft CMS. Chaque scanner énumère les plugins, thèmes et extensions installés, puis vérifie leurs versions contre les bases de vulnérabilités de référence — Wordfence Intelligence pour WordPress, Friends of Presta pour PrestaShop, Drupal Security Advisories pour Drupal.
Chaque audit vérifie systématiquement les vecteurs d’attaque les plus couramment exploités. Voici le périmètre complet.
La transparence, c’est aussi dire clairement ce que nous ne faisons pas. Voici les limites de notre approche automatisée.
Chaque vulnérabilité détectée est évaluée selon le standard international CVSS v3.1, puis agrégée dans un score global de 0 à 100.
Le CVSS (Common Vulnerability Scoring System) version 3.1 est le standard international — défini par le FIRST (Forum of Incident Response and Security Teams) — utilisé par le NIST (National Institute of Standards and Technology), le NVD (National Vulnerability Database) et l’ensemble de l’industrie de la cybersécurité pour évaluer la sévérité des vulnérabilités. Notre algorithme de scoring attribue un poids à chaque vulnérabilité en fonction de sa classification (Critical, High, Medium, Low, Info), puis calcule un score global sur 100. Le système de dédoublonnage unique-type évite la sur-pénalisation : les vulnérabilités répétées du même type ne sont comptées qu’une fois.
| Score | Grade | Signification |
|---|---|---|
| 90 – 100 | A | Excellent — très peu de vulnérabilités détectées, posture de sécurité solide |
| 70 – 89 | B | Bon — vulnérabilités mineures, quelques améliorations recommandées |
| 50 – 69 | C | Moyen — vulnérabilités significatives nécessitant une attention rapide |
| 30 – 49 | D | Faible — vulnérabilités importantes, remédiation prioritaire requise |
| 0 – 29 | F | Critique — remédiation immédiate nécessaire, risque d’exploitation élevé |
L’OWASP Top 10 est la référence mondiale des risques de sécurité les plus critiques pour les applications web. Notre audit vérifie systématiquement chacune de ces catégories.
Les réponses aux questions les plus courantes sur notre processus d’audit et la fiabilité des résultats.
Consultez un exemple de rapport réel pour découvrir le résultat concret de nos 4 scanners. Ou lancez directement votre propre audit.
En savoir plus sur GSI Network et notre équipe →