// AUDIT SERVEUR WEB
Audit complet : configuration TLS, en-têtes de sécurité, WAF, durcissement, mises à jour OS et applicatif, exposition réelle. Note Mozilla Observatory, SSLLabs, recommandations OWASP Secure Headers.
// CE QUE NOUS AUDITONS
HSTS, Content-Security-Policy, X-Frame-Options, Referrer-Policy sont souvent absents ou mal configurés. Pourtant 30 minutes de travail font passer une note de C à A+ et bloquent 80 % des attaques courantes — XSS, clickjacking, MITM.
Versions, ciphers, certificats. On désactive ce qui est obsolète et on active ce qui protège vraiment.
Les headers HTTP qui bloquent XSS, clickjacking et fuite de données — souvent absents, toujours rentables.
Pare-feu applicatif : on vérifie qu'il protège sans casser, et on affine les règles.
Revue de la configuration Nginx / Apache / IIS et du système sous-jacent.
On confronte le serveur aux failles applicatives les plus exploitées du référentiel OWASP.
On mesure l'état initial avec les référentiels publics, puis on vise le A+.
// LE CONSTAT
HSTS, Content-Security-Policy, X-Frame-Options, Referrer-Policy. Souvent absents ou mal configurés. Pourtant 30 minutes de travail font passer une note de C à A+ et bloquent 80 % des attaques courantes (XSS, clickjacking, MITM).
// MÉTHODE
Du scan externe au fichier de config prêt à déployer — chaque étape est documentée et testée avant la mise en production.
Scan SSLLabs, Mozilla Observatory, securityheaders.com. État initial documenté.
Versions, ciphers, certs, OCSP, HSTS, HPKP. Tests offline avec testssl.sh + Cipherscan.
CSP, XFO, Referrer-Policy, Permissions-Policy. Recommandations contextuelles selon l'app.
Revue config Nginx/Apache/IIS, modules actifs, WAF (ModSecurity, Cloudflare). Tuning des règles.
Rapport + fichiers de config corrigés prêts à déployer. Tests A/B avant prod.
// LIVRABLES
Pas un audit pour l'audit. Vous repartez avec les fichiers corrigés et un plan clair pour passer en A+.
Premier échange gratuit · Devis sous 48h · Sans engagement