Vérification de la sécurité du site
Vérification de la sécurité du site
Vérifiez uniquement les sites qui vous appartiennent ou que vous êtes autorisé à tester. Cet outil lit seulement ce qu’une visite normale du navigateur voit déjà ; il n’envoie jamais de code d’exploitation.
Inquiet de l’alerte de sécurité PHP dont tout le monde parle ? En octobre 2026, deux failles graves dans PHP lui-même, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619), ont été divulguées. Comme elles sont dans le moteur PHP, tout site construit avec PHP est concerné : Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla et d’autres, même si votre propre code est impeccable. Cet outil vous donne une lecture rapide et claire de la partie du problème visible de l’extérieur, à savoir si votre site affiche encore une ancienne version de PHP, ainsi que l’état général de sécurité.
Faut-il vraiment s’inquiéter ? Les failles ont une note élevée (9,2 sur 10) et pourraient, au pire, permettre à un attaquant d’exécuter du code sur le serveur sans se connecter. Mais la société de sécurité e-commerce Sansec a précisé le 22 octobre : les attaques de masse automatisées sont moins probables qu’on ne le craignait, les exploits publics ne fonctionnent pas contre une installation PHP normale, et vous n’avez pas besoin de mettre votre boutique hors ligne. Tout le monde s’accorde sur une seule action : mettre PHP à jour. Ce problème ne se corrige pas depuis le code de votre boutique, le thème ou les plugins, mais en mettant PHP à jour sur le serveur ou en le demandant à votre hébergeur.
Ce que cet outil vous dit sur votre site. Il fait une requête normale, comme un navigateur, et transforme le résultat en un court rapport coloré : si votre version PHP est visible et si elle est obsolète ou en fin de vie ; si le trafic est chiffré avec un certificat HTTPS valide ; si les visiteurs restent sur la version sécurisée ; si les en-têtes de protection habituels sont en place ; et si un pare-feu ou un CDN comme Cloudflare est devant. Chaque vérification est passive : aucune attaque, seulement la lecture de ce que tout visiteur voit déjà. Une version lue de l’extérieur est un signal, pas un verdict final : confirmez-la sur le serveur avec php -v. Les versions PHP corrigées actuelles sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ; PHP 8.1 et antérieurs sont en fin de vie et nécessitent une mise à niveau ou un paquet rétroporté de votre hébergeur.
- La faille PHP d’octobre 2026, en clair : PHP2Shell (CVE-2026-109618 / CVE-2026-109619) est un défaut de PHP lui-même, donc tout site PHP est concerné, dont Magento, Shopware, WooCommerce et WordPress, quelle que soit la propreté de votre code.
- Pas de panique, mais mettez à jour : les attaques de masse sont moins probables que craint et vous n’avez pas à fermer la boutique, mais la solution est de mettre PHP à jour sur le serveur (corrigé 8.2.35, 8.3.36, 8.4.27, 8.5.12). Cela ne se corrige pas depuis le code de la boutique.
- L’état de votre PHP en un coup d’œil : l’outil montre si votre version PHP est visible et si elle paraît obsolète, non corrigée ou en fin de vie, la première chose que regarde un attaquant.
- HTTPS et certificat : confirme que le trafic est chiffré et que le certificat est valide, fiable et pas sur le point d’expirer.
- En-têtes et pare-feu : vérifie HSTS, Content-Security-Policy, la protection contre le clickjacking et le MIME-sniffing, et si un WAF/CDN comme Cloudflare, Sucuri, Akamai, Fastly ou CloudFront vous protège.
- Passif et privé : une requête normale, aucun exploit, rien n’est stocké, et vous pouvez télécharger le résultat en PDF.
Comment utiliser la vérification de sécurité du site ?
Saisissez l’adresse de votre site (par exemple example.com) dans le champ et cliquez sur Vérifier. En quelques secondes, vous obtenez un rapport en langage clair avec un verdict coloré et une liste de points. Le bouton Télécharger le PDF permet de l’enregistrer.
Cela me dit-il si je suis exposé à la faille PHP d’octobre 2026 (PHP2Shell) ?
Cela donne un premier signal fort : si votre serveur révèle encore sa version PHP, l’outil vérifie si cette version est obsolète, non corrigée ou en fin de vie pour le correctif d’octobre 2026. Il ne peut pas confirmer l’exploitabilité, qui dépend de votre configuration. La vérification définitive est sur le serveur : php -v et le changelog du paquet (corrigé 8.2.35, 8.3.36, 8.4.27, 8.5.12). Si la version est masquée ou derrière un pare-feu, l’outil ne peut pas la lire, vérifiez alors sur le serveur.
Mon PHP est obsolète, que faire ?
Mettez PHP à jour vers une version prise en charge et corrigée (8.2.35, 8.3.36, 8.4.27 ou 8.5.12). Si vous utilisez PHP 8.1 ou antérieur, passez à une branche prise en charge ou demandez à votre hébergeur un paquet rétroporté, puis redémarrez PHP-FPM ou Apache. Si votre hébergeur gère PHP, demandez-lui simplement d’appliquer la mise à jour d’octobre 2026. C’est la mesure la plus efficace.
Questions Fréquentes
Est-ce un scanner de vulnérabilités ?
Non. Il n’envoie jamais d’exploit et ne tente jamais de déclencher une vulnérabilité. Il lit seulement les en-têtes de réponse HTTP et le certificat TLS que tout navigateur reçoit déjà, et les explique. Pour une vérification définitive d’une faille précise comme PHP2Shell, suivez l’avis officiel et testez sur le serveur.
Dois-je mettre ma boutique hors ligne à cause de PHP2Shell ?
Selon la mise à jour de Sansec du 22 octobre, non. L’exploitation de masse est moins probable que craint et les exploits publics ne fonctionnent pas contre une installation PHP normale. La bonne action est de mettre PHP à jour vers une version corrigée, pas de fermer la boutique.
L’outil ne peut pas lire ma version PHP, est-ce grave ?
Souvent l’inverse. Beaucoup de serveurs masquent leur version avec expose_php=Off ou sont derrière un pare-feu qui bloque les requêtes automatisées, deux bonnes choses pour la sécurité. Si la version n’est pas lisible de l’extérieur, confirmez-la sur le serveur avec php -v.
Mon PHP est affiché comme en fin de vie, et maintenant ?
PHP 8.1 et antérieurs ne reçoivent plus de mises à jour de sécurité officielles (en 2026) et il n’y a pas de correctif officiel de la faille d’octobre 2026 pour ces branches. Passez à une branche prise en charge (8.2 ou plus récente) ou demandez à votre hébergeur un paquet rétroporté. Utiliser une version en fin de vie laisse des failles connues non corrigées, c’est le plus important.
Vérification de la sécurité du site
Vérifiez uniquement les sites qui vous appartiennent ou que vous êtes autorisé à tester. Cet outil lit seulement ce qu’une visite normale du navigateur voit déjà ; il n’envoie jamais de code d’exploitation.
Inquiet de l’alerte de sécurité PHP dont tout le monde parle ? En octobre 2026, deux failles graves dans PHP lui-même, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619), ont été divulguées. Comme elles sont dans le moteur PHP, tout site construit avec PHP est concerné : Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla et d’autres, même si votre propre code est impeccable. Cet outil vous donne une lecture rapide et claire de la partie du problème visible de l’extérieur, à savoir si votre site affiche encore une ancienne version de PHP, ainsi que l’état général de sécurité.
Faut-il vraiment s’inquiéter ? Les failles ont une note élevée (9,2 sur 10) et pourraient, au pire, permettre à un attaquant d’exécuter du code sur le serveur sans se connecter. Mais la société de sécurité e-commerce Sansec a précisé le 22 octobre : les attaques de masse automatisées sont moins probables qu’on ne le craignait, les exploits publics ne fonctionnent pas contre une installation PHP normale, et vous n’avez pas besoin de mettre votre boutique hors ligne. Tout le monde s’accorde sur une seule action : mettre PHP à jour. Ce problème ne se corrige pas depuis le code de votre boutique, le thème ou les plugins, mais en mettant PHP à jour sur le serveur ou en le demandant à votre hébergeur.
Ce que cet outil vous dit sur votre site. Il fait une requête normale, comme un navigateur, et transforme le résultat en un court rapport coloré : si votre version PHP est visible et si elle est obsolète ou en fin de vie ; si le trafic est chiffré avec un certificat HTTPS valide ; si les visiteurs restent sur la version sécurisée ; si les en-têtes de protection habituels sont en place ; et si un pare-feu ou un CDN comme Cloudflare est devant. Chaque vérification est passive : aucune attaque, seulement la lecture de ce que tout visiteur voit déjà. Une version lue de l’extérieur est un signal, pas un verdict final : confirmez-la sur le serveur avec php -v. Les versions PHP corrigées actuelles sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ; PHP 8.1 et antérieurs sont en fin de vie et nécessitent une mise à niveau ou un paquet rétroporté de votre hébergeur.
- La faille PHP d’octobre 2026, en clair : PHP2Shell (CVE-2026-109618 / CVE-2026-109619) est un défaut de PHP lui-même, donc tout site PHP est concerné, dont Magento, Shopware, WooCommerce et WordPress, quelle que soit la propreté de votre code.
- Pas de panique, mais mettez à jour : les attaques de masse sont moins probables que craint et vous n’avez pas à fermer la boutique, mais la solution est de mettre PHP à jour sur le serveur (corrigé 8.2.35, 8.3.36, 8.4.27, 8.5.12). Cela ne se corrige pas depuis le code de la boutique.
- L’état de votre PHP en un coup d’œil : l’outil montre si votre version PHP est visible et si elle paraît obsolète, non corrigée ou en fin de vie, la première chose que regarde un attaquant.
- HTTPS et certificat : confirme que le trafic est chiffré et que le certificat est valide, fiable et pas sur le point d’expirer.
- En-têtes et pare-feu : vérifie HSTS, Content-Security-Policy, la protection contre le clickjacking et le MIME-sniffing, et si un WAF/CDN comme Cloudflare, Sucuri, Akamai, Fastly ou CloudFront vous protège.
- Passif et privé : une requête normale, aucun exploit, rien n’est stocké, et vous pouvez télécharger le résultat en PDF.
Comment utiliser la vérification de sécurité du site ?
Saisissez l’adresse de votre site (par exemple example.com) dans le champ et cliquez sur Vérifier. En quelques secondes, vous obtenez un rapport en langage clair avec un verdict coloré et une liste de points. Le bouton Télécharger le PDF permet de l’enregistrer.
Cela me dit-il si je suis exposé à la faille PHP d’octobre 2026 (PHP2Shell) ?
Cela donne un premier signal fort : si votre serveur révèle encore sa version PHP, l’outil vérifie si cette version est obsolète, non corrigée ou en fin de vie pour le correctif d’octobre 2026. Il ne peut pas confirmer l’exploitabilité, qui dépend de votre configuration. La vérification définitive est sur le serveur : php -v et le changelog du paquet (corrigé 8.2.35, 8.3.36, 8.4.27, 8.5.12). Si la version est masquée ou derrière un pare-feu, l’outil ne peut pas la lire, vérifiez alors sur le serveur.
Mon PHP est obsolète, que faire ?
Mettez PHP à jour vers une version prise en charge et corrigée (8.2.35, 8.3.36, 8.4.27 ou 8.5.12). Si vous utilisez PHP 8.1 ou antérieur, passez à une branche prise en charge ou demandez à votre hébergeur un paquet rétroporté, puis redémarrez PHP-FPM ou Apache. Si votre hébergeur gère PHP, demandez-lui simplement d’appliquer la mise à jour d’octobre 2026. C’est la mesure la plus efficace.
Questions Fréquentes
Est-ce un scanner de vulnérabilités ?
Non. Il n’envoie jamais d’exploit et ne tente jamais de déclencher une vulnérabilité. Il lit seulement les en-têtes de réponse HTTP et le certificat TLS que tout navigateur reçoit déjà, et les explique. Pour une vérification définitive d’une faille précise comme PHP2Shell, suivez l’avis officiel et testez sur le serveur.
Dois-je mettre ma boutique hors ligne à cause de PHP2Shell ?
Selon la mise à jour de Sansec du 22 octobre, non. L’exploitation de masse est moins probable que craint et les exploits publics ne fonctionnent pas contre une installation PHP normale. La bonne action est de mettre PHP à jour vers une version corrigée, pas de fermer la boutique.
L’outil ne peut pas lire ma version PHP, est-ce grave ?
Souvent l’inverse. Beaucoup de serveurs masquent leur version avec expose_php=Off ou sont derrière un pare-feu qui bloque les requêtes automatisées, deux bonnes choses pour la sécurité. Si la version n’est pas lisible de l’extérieur, confirmez-la sur le serveur avec php -v.
Mon PHP est affiché comme en fin de vie, et maintenant ?
PHP 8.1 et antérieurs ne reçoivent plus de mises à jour de sécurité officielles (en 2026) et il n’y a pas de correctif officiel de la faille d’octobre 2026 pour ces branches. Passez à une branche prise en charge (8.2 ou plus récente) ou demandez à votre hébergeur un paquet rétroporté. Utiliser une version en fin de vie laisse des failles connues non corrigées, c’est le plus important.