Ce que l'outil mesure, et ce qu'il refuse de faire
Un audit ne vaut que si l'on peut le rejouer. Cette page décrit les contrôles, le mode d'accès au site, les sites de test qui vérifient l'outil, la relecture et le traitement des données. Elle dit aussi les limites, sans les arrondir.
Les sept familles
1. Recherche (SEO)
- Titre de page : présence et longueur.
- Description : présence et longueur.
- Un seul titre principal, puis une hiérarchie de titres qui suit l'ordre du contenu.
- Textes alternatifs des images, adresse canonique, versions de langue.
- robots.txt, sitemap, aperçu social, données structurées locales.
- Liens internes cassés, cohérence du nom, de l'adresse et du téléphone.
2. Sécurité passive
- HTTPS et redirection depuis l'adresse non sécurisée.
- Certificat présenté et date d'expiration.
- En-têtes de protection : HSTS, politique de contenu, type de contenu, référant, cadre.
- Contenu mixte, cookies sans attribut de sécurité, formulaire envoyé en clair.
- Version du serveur ou du logiciel affichée dans les réponses.
C'est ce qu'un navigateur reçoit en arrivant. Ce n'est pas un test d'intrusion.
3. Design et mobile
- Zone d'affichage déclarée, largeur fixe, texte inférieur à 14 px.
- Cibles tactiles inférieures à 44 px.
- Lien téléphone absent, appel à l'action absent au-dessus de la ligne de flottaison.
- Débordement horizontal mesuré dans un navigateur réel, à 390 px de large.
4. Vitesse
- Poids total et nombre de requêtes.
- Images non compressées, sans dimensions, dans un format ancien.
- Scripts et styles qui bloquent l'affichage.
- Délai de première réponse, compression, cache.
5. Obsolescence
- CMS et version, repérés dans les métadonnées ou les chemins.
- Bibliothèques anciennes, moteur de script dépassé.
- Mise en page par tableaux, balises de style obsolètes, doctype absent.
- Année de copyright figée.
6. E-mail et DNS
- Enregistrements de messagerie.
- SPF et DMARC.
Ce sont des données publiques, lues comme le ferait un correspondant avant d'envoyer un message. Aucune boîte n'est ouverte et aucun message n'est envoyé.
7. Conformité visible
- Présence de mentions légales et d'une politique de confidentialité.
- Présence d'un bandeau cookies.
- Traceurs chargés avant consentement, observés dans les requêtes.
C'est un relevé de ce qui est visible. Ce n'est ni un avis juridique ni un audit de conformité.
Mode passif : ce que fait un visiteur
Pour un site qui n'est pas le nôtre, l'audit se limite à ce qu'un visiteur ou un moteur de recherche fait déjà :
- lecture de la page d'accueil et de quelques pages liées, dans la limite de dix pages ;
- lecture de robots.txt, du sitemap et du favicon ;
- respect de robots.txt, une requête par seconde au maximum, navigateur identifié ;
- lecture des DNS publics et du certificat présenté.
L'outil ne demande jamais : /.env, /.git, /wp-admin, ni aucun fichier d'administration. Il ne scanne pas de ports, ne soumet aucun formulaire et ne tente aucune connexion. Le mode avec sondes actives existe seulement pour le site de son propriétaire, avec un accord écrit et une preuve de propriété.
Étalons et témoin, rejoués à chaque version
Trois sites de test accompagnent l'outil. Ils ne changent pas, et leurs résultats attendus sont écrits d'avance :
- Un site volontairement dégradé doit produire au moins douze constats, dont au moins cinq de priorité 1, avec une note inférieure ou égale à 3 sur 10.
- Un site correct doit produire entre quatre et dix constats, sans aucun point de priorité 1, avec une note entre 5 et 8 sur 10.
- Un témoin volontairement propre doit rester à zéro point de priorité 1 et zéro point de priorité 2, avec une note supérieure ou égale à 9 sur 10.
Si le témoin n'est pas à zéro, l'outil est faux, pas le témoin. Un étalon raté est noté et gardé dans le rapport de contrôle, jamais effacé. Chaque contrôle a au moins un cas qui le déclenche et un cas qui ne le déclenche pas.
Relecture humaine avant envoi
La mesure produit des constats, pas un jugement. Avant l'envoi, chaque constat est relu : la preuve est vérifiée, le contexte est regardé, et un constat incertain est retiré. Le rapport est daté et signé. Les chiffres qui y figurent viennent de la mesure du jour, pas d'une estimation.
Vos données
L'analyse tourne sur nos machines. Les pages lues, les fichiers et les constats ne sont envoyés à aucun service d'analyse tiers. La demande envoyée par le formulaire transite par l'hébergeur du site jusqu'à notre boîte de messagerie, puis le bilan est préparé localement. Aucun compte n'est créé sur le site, aucun traceur de mesure d'audience n'est chargé et les polices sont servies depuis ce site.
Le détail des données, des durées et des droits figure dans la page confidentialité.
Mode hors ligne
Un dossier ou une archive du site peut être analysé sans aucun accès réseau. Les constats des familles de fichiers sont alors les mêmes que pour la même page en ligne. Les familles qui dépendent du réseau, comme la sécurité passive et la messagerie, ne sont pas mesurables hors ligne : le rapport l'écrit au lieu de supposer.
Critères que l'outil doit tenir
- Soixante secondes au plus par site en mode complet, navigateur réel compris.
- Dix secondes au plus en mode rapide, sur le seul code de la page.
- Aucune requête hors de la liste autorisée en mode passif.
- Mêmes constats hors ligne et en ligne, hors familles réseau.
Limites
- Un site peut être propre et rester derrière un concurrent mieux établi : aucun audit ne promet une place.
- La conformité visible est relevée, pas jugée : les questions juridiques restent à un professionnel du droit.
- La sécurité passive ne remplace pas un test d'intrusion, qui exige un accord écrit et un périmètre défini.
- Une mesure est datée : un site change, un rapport ancien ne vaut que pour sa date.
Dernière mise à jour : 24 octobre 2026.