Ce que le scan analyse
Le test combine plusieurs moteurs spécialisés, chacun couvrant un angle différent de la sécurité d'une application web :
- Nmap : ports et services exposés, versions logicielles, points d'entrée réseau.
- Nikto : fichiers sensibles, configurations par défaut, en-têtes de sécurité manquants.
- Nuclei : détection à base de modèles de vulnérabilités connues (CVE) et de mauvaises configurations.
- Wapiti : injections (SQL, XSS…), inclusion de fichiers, traversée de répertoires.
- WPScan : pour les sites WordPress, versions du cœur, extensions et thèmes vulnérables, comptes exposés.
- Analyse TLS : versions de protocole, suites de chiffrement et HSTS (voir notre page dédiée SSL/TLS).
Les failles recherchées
Le scan cible en priorité les catégories les plus exploitées, alignées sur l'OWASP Top 10 : injections, défauts de contrôle d'accès, mauvaises configurations de sécurité, composants obsolètes et exposition de données sensibles. Chaque résultat est qualifié par niveau de gravité.
Le rapport que vous recevez
Les résultats bruts des différents outils sont consolidés en un seul rapport lisible : synthèse, liste des vulnérabilités classées par criticité, preuves techniques et, surtout, un plan de remédiation priorisé. Une couche d'analyse par IA trie le bruit et reformule chaque point en français clair.
Questions fréquentes
Le scan peut-il perturber mon site ?
Les modules sont configurés pour rester non intrusifs et raisonnables en charge. Pour un environnement sensible, planifiez le scan en dehors des heures de forte affluence.
Dois-je être propriétaire du site ?
Oui. Vous ne devez scanner que des cibles pour lesquelles vous disposez d'une autorisation explicite. C'est une condition d'utilisation et une obligation légale.
WordPress est-il bien couvert ?
Oui, via WPScan (extensions, thèmes, versions) complété par les autres moteurs. Voir aussi notre guide sécuriser un site WordPress.