Nous avons audité les 70 sites clients d'une agence web : voici ce qu'on a trouvé

Nous avons audité les 70 sites de production des clients d'une agence web française spécialisée WordPress. Résultat : aucun signe de piratage et aucun sous-domaine détournable, mais 56 sites sur 70 sans en-têtes de sécurité et 53 domaines sur 70 dont la politique DMARC ne protège pas contre l'usurpation. Les problèmes les plus fréquents ne viennent pas d'erreurs site par site. Ils viennent d'un réglage commun, hérité de l'hébergement ou du socle WordPress de l'agence. Un seul correctif central les règle donc presque partout.

Pourquoi cette étude

Une agence qui gère des dizaines de sites partage souvent la même base technique entre tous ses clients : même hébergeur, même configuration de serveur web, même thème de départ, mêmes extensions. C'est efficace. Mais un réglage absent de cette base est absent partout.

Nous voulions mesurer ce que cela donne en pratique, sur un parc réel. L'agence n'a pas été choisie pour ses défauts. Elle est représentative : une structure d'une vingtaine de personnes, des clients variés (e-commerce, écoles, industrie, associations), des sites maintenus.

La méthode

Nous sommes partis des préproductions de l'agence. Chaque préproduction servie en HTTPS reçoit un certificat, et chaque certificat est publié dans les journaux Certificate Transparency. Ces journaux sont publics. Nous y avons relevé 241 noms de sous-domaines, qui correspondent à environ 100 clients.

Pour chaque client, nous avons identifié le site de production : par le titre de la page quand la préproduction était ouverte, sinon par le nom du client. Nous avons retenu 70 sites de production. Le 9 octobre 2026, chacun a reçu le même audit automatique que celui de notre audit gratuit :

• certificat SSL (validité, échéance, couverture du nom) ;
• authentification des emails (SPF, DMARC) ;
• configuration DNS ;
• en-têtes de sécurité HTTP ;
• présence sur des listes noires ;
• date d'expiration du nom de domaine ;
• sous-domaines détournables ;
• signes de piratage sur la page d'accueil.

Les résultats en un tableau

Côté notes globales : 19 sites notés A, 32 notés B, 19 notés C, aucun en D, E ou F. Le parc est sain sur l'essentiel. Aucun site n'est en panne grave. Les écarts se concentrent sur deux réglages.

Les en-têtes de sécurité : un réglage absent du socle

Sur 56 sites, il manque les mêmes trois en-têtes HTTP :

• X-Frame-Options ou la directive CSP frame-ancestors, qui empêche un site tiers d'afficher vos pages dans un cadre invisible (clickjacking) ;
• X-Content-Type-Options: nosniff, qui interdit au navigateur de deviner le type d'un fichier ;
• Strict-Transport-Security (HSTS), qui force le navigateur à rester en HTTPS.

Ce n'est pas un oubli répété 56 fois. C'est la configuration du serveur web, identique pour tous les sites. Quelques lignes dans cette configuration, ou une extension commune à tous les WordPress, corrigent les 56 sites d'un coup :

Header always set X-Frame-Options "SAMEORIGIN"
Header always set X-Content-Type-Options "nosniff"
Header always set Strict-Transport-Security "max-age=31536000"

Le détail de chaque en-tête et les précautions pour HSTS sont dans notre guide sur les en-têtes de sécurité HTTP.

DMARC : 53 domaines sur 70 ne protègent pas

DMARC indique aux messageries quoi faire d'un email qui prétend venir de votre domaine sans réussir les contrôles SPF et DKIM. Sur ce parc :

• 12 domaines n'ont aucun enregistrement DMARC ;
• 41 domaines sont en p=none : les rapports sont collectés, mais les emails usurpés sont livrés ;
• 17 domaines ont une politique qui protège (quarantine ou reject).

Le p=none n'est pas une erreur. C'est l'étape de départ recommandée. Le problème vient quand on y reste. Contrairement aux en-têtes, DMARC se durcit domaine par domaine, après lecture des rapports, pour ne pas bloquer un service d'envoi légitime oublié. L'agence peut néanmoins outiller ce travail une fois pour tous ses clients.

Plus grave : 5 domaines n'ont aucun SPF. Rien n'indique quels serveurs ont le droit d'envoyer leurs emails. Leurs messages risquent davantage d'arriver en spam. Vous pouvez vérifier un domaine avec notre outil de sécurité email.

Les cas isolés

• Un site sous WordPress 5.7, une version de 2021 qui ne reçoit plus de correctifs de sécurité. C'est le constat le plus sérieux de l'étude.
• Trois sites sans redirection HTTP vers HTTPS : un visiteur qui tape l'adresse sans https:// reste sur une connexion non chiffrée.
• Deux certificats SSL expiraient sous 25 jours. Un renouvellement automatique remplace normalement un certificat bien avant cette échéance. Le leur était peut-être bloqué, ou programmé plus tard.
• Quatre noms de domaine expiraient sous 30 jours. Tous chez un registrar qui renouvelle à l'échéance quand le renouvellement automatique est actif. Ce n'est donc probablement pas un risque, mais cela se vérifie en deux minutes.
• Deux adresses IP figuraient sur des listes noires mineures, sans effet notable sur la délivrabilité.

Ce que l'audit a trouvé côté agence

Deux constats ne concernent pas les sites de production, mais l'agence elle-même.

Environ 20 préproductions s'ouvrent sans mot de passe, et Google en a indexé une partie. Une préproduction indexée crée du contenu dupliqué avec le site de production et expose des travaux non publiés. Nous détaillons les risques et les protections dans notre article sur les préproductions indexées.

Un ancien domaine de client a été racheté et redirige aujourd'hui vers un site de jeux d'argent. Le client a changé de domaine. L'ancien a expiré, puis quelqu'un l'a récupéré. Tous les liens qui pointaient encore vers l'ancienne adresse (anciens articles, annuaires, signatures d'email) envoient désormais vers ce site.

Méthode et limites

• Rapprochement par le nom. Pour une partie des clients, la préproduction était protégée. Nous avons associé le site de production par le nom seul. Sept rapprochements restent incertains.
• Faux positifs écartés à la main. Deux alertes « contenu différent servi à Googlebot » ne se sont pas confirmées à la vérification. Un domaine en vente, qui n'était pas le site du client, a été exclu.
• Photographie à une date. Les résultats datent du 9 octobre 2026. Un certificat ou un domaine signalé a pu être renouvelé depuis.
• Contrôles externes uniquement. L'audit regarde ce qui est visible de l'extérieur. Il ne voit ni les sauvegardes, ni les comptes administrateur, ni les extensions installées.

Ce qu'une agence devrait vérifier chaque mois

1. Les échéances : certificats et noms de domaine de tous les clients, avec une alerte avant la date.
2. L'authentification email : un SPF présent et valide, un DMARC qui avance vers quarantine.
3. Les en-têtes de sécurité, réglés une fois dans le socle commun.
4. Les versions de CMS et des extensions.
5. Les préproductions : protégées par mot de passe, absentes de Google.
6. Les anciens domaines des clients : renouvelés ou redirigés tant qu'ils reçoivent du trafic.

Le faire à la main pour 70 sites prend une journée. Le surveiller en continu évite de le découvrir par un client. Nous décrivons une méthode dans notre workflow de surveillance pour agences.

Questions fréquentes

Pourquoi ne pas nommer l'agence ?

L'étude porte sur un phénomène, pas sur une entreprise. Les constats sont courants dans le métier, et l'agence en question maintient un parc globalement sain. La nommer n'apporterait rien au lecteur.

Comment avez-vous trouvé les préproductions ?

Par les journaux Certificate Transparency. Chaque certificat HTTPS émis y est publié, avec les noms qu'il couvre. Une préproduction en HTTPS laisse donc son nom dans un registre public, consultable par n'importe qui.

Un DMARC en p=none est-il une faute ?

Non. C'est le point de départ normal, qui permet de lire les rapports sans risque. Il devient un problème quand il reste en place indéfiniment, car il ne bloque aucune usurpation.

Comment auditer mon propre parc ?

Vous pouvez lancer un audit gratuit domaine par domaine. Pour suivre plusieurs dizaines de sites clients dans la durée, une surveillance continue est plus adaptée qu'un audit ponctuel.