Qu’est-ce que j’utilise ?

Vérificateur de sécurité web

Vérifiez les réglages publics d’un site ou comparez les données PHP fournies par le propriétaire aux avis des fournisseurs. Des vérifications gratuites, avec preuves et prochaines étapes claires.

Vérification du site public Vérifier votre paquet PHP Vérifier les mises à jour du système

1. Vérifier les réglages publics du site

Une page publique, vérifiée sur demande. L’adresse est envoyée à notre serveur ; les scripts de la page ne sont jamais exécutés. Utilisation des données par les vérifications.

3 nouvelles vérifications par réseau et par jourToutes les sections du rapport sont gratuitesAucun compte nécessaire

Les trois outils partagent un quota réinitialisé à minuit UTC. Une tentative échouée peut consommer une vérification. Les réseaux partagés partagent le quota ; les rapports en cache ne consomment pas de nouvelle vérification. Une limite globale protège aussi ce service gratuit.

Votre rapport gratuit

Rapport du site

Observations de la réponse publique

Partir des preuves

Un en-tête présent peut être inefficace ; un en-tête absent doit être interprété dans son contexte. Ce rapport ne permet pas de déclarer un site sûr.

Ce que cette vérification ne couvre pas

Comment interpréter ces observations →

Ce que la page nous apprend

Réseau public et technologies

Les indices visibles peuvent être incomplets ou modifiés volontairement. Une adresse CDN ne révèle pas l’emplacement du serveur d’origine.

Observations de sécurité et prochaines étapes

Pour les métadonnées, l’indexation et les conseils d’amélioration, utilisez l’outil Analyseur SEO de site web. Les trois rapports peuvent réutiliser la même vérification en cache. Vérifier les en-têtes de sécurité publics.

Un instantané d’une réponse publique. Il ne garantit ni indexation, ni classement, ni sécurité, ni accessibilité, ni disponibilité pour tous.

Pour les propriétaires de sites

2. Vérifier votre paquet PHP

Comparez le paquet PHP de votre distribution aux avis de sécurité du fournisseur. Aucune adresse de site n’est nécessaire. Vos saisies restent dans cet onglet.

PHP2Shell : vérifiez vos correctifs de sécurité PHP

Ce vérificateur de vulnérabilités PHP compare la révision complète du paquet installé aux correctifs des fournisseurs pour CVE-2026-109618 et CVE-2026-109619, ainsi qu’avec d’autres avis PHP publiés. Les fournisseurs peuvent rétroporter des correctifs sans modifier la version principale de PHP : PHP 7.4.3 seul ne confirme donc pas l’installation d’un correctif. Utilisez la vérification du paquet ci-dessous ; elle ne tente aucune exploitation.

Trouver les informations du serveur et du paquet

Utilisez une machine dont vous êtes propriétaire ou administrateur. Ces commandes lisent des informations sans installer de mises à jour ni changer les réglages. Ne saisissez jamais de mot de passe, de clé SSH privée ou de jeton d’accès dans WAIU.

Hébergement géré, cPanel ou Plesk

Ouvrez le tableau de bord de l’hébergeur et sélectionnez le site. Retrouvez ses réglages ou son gestionnaire PHP pour identifier la version et l’utilisation de PHP-FPM ou d’un module Apache. Le tableau de bord omet souvent la révision complète du paquet du système.

Sans accès shell, demandez à l’hébergeur : « Quels système/version, version PHP en service, révision complète du paquet et dépôt servent ce site ? Le processus web en cours utilise-t-il ce paquet et les services ont-ils redémarré depuis la mise à jour de sécurité ? »

N’activez pas SSH et ne créez pas de page publique phpinfo() pour cette seule vérification. Les paquets gérés par un hébergeur, PPA, Remi, Homebrew et les compilations personnalisées nécessitent les preuves de sécurité de leur fournisseur plutôt que la comparaison des paquets de distribution.

Se connecter à votre serveur Linux par SSH

Retrouvez l’adresse du serveur, le nom d’utilisateur SSH et les instructions d’accès dans le panneau de l’hébergeur. En cas de doute, demandez à l’administrateur.
Sous Windows, ouvrez Windows Terminal ou PowerShell. Sous macOS, ouvrez Terminal. Sous Linux, ouvrez votre terminal habituel.
Remplacez le nom d’utilisateur et le nom d’hôte d’exemple ci-dessous. Utilisez le port et la méthode de clé SSH indiqués par l’hébergeur. Ne partagez ni clé ni mot de passe.
Avant d’accepter une première connexion, comparez l’empreinte du serveur à celle fournie par une source fiable de l’hébergeur. Si une empreinte connue change sans raison prévue, arrêtez et contactez l’hébergeur.
Exécutez les commandes en lecture seule adaptées ci-dessous. Vous n’avez normalement besoin ni de sudo ni d’un accès root. Saisissez exit quand vous avez terminé.

Utiliser les informations de connexion de l’hébergeur

ssh your-user@your-server.example

Sans SSH, utilisez la console web de l’hébergeur ou contactez l’assistance. Un conteneur possède son propre système et ses propres paquets ; examiner uniquement son hôte peut donner une réponse erronée.

Ubuntu ou Debian : système, PHP et révision complète du paquet

1. Lire le nom et la version du système

cat /etc/os-release

Utilisez ID et VERSION_ID, par exemple ubuntu et 20.04. Choisissez cette distribution et cette branche PHP dans le formulaire.

2. Lire la version PHP en ligne de commande comme premier indice

php -v

Ce n’est qu’un indice. Le site peut utiliser une autre version PHP. Vérifiez les réglages d’hébergement ou la configuration du serveur web/PHP-FPM avant de cocher la confirmation du processus en service.

3. Exemple : examiner le paquet FPM de PHP 7.4

dpkg-query -W -f='${binary:Package} ${Version}\n' php7.4-fpm

Remplacez php7.4-fpm par le paquet web installé, par exemple php8.3-fpm ou libapache2-mod-php8.3. « No packages found » signifie que ce paquet n’est pas installé ; ne l’installez pas pour cette vérification. Copiez la version complète après le nom du paquet, y compris le préfixe d’époque, le suffixe Ubuntu/Debian et la révision ESM éventuels.

4. Exemple : examiner les dépôts indiqués pour le paquet

apt-cache policy php7.4-fpm

Réutilisez le nom réel de votre paquet. Confirmez que la version installée provient du dépôt officiel de la distribution choisie. Une liste de dépôts ne prouve pas à elle seule l’origine d’un paquet installé manuellement. L’accès et les droits au support Ubuntu Pro/ESM doivent aussi être valides.

AlmaLinux ou Rocky Linux : paquet et flux PHP

1. Lire le nom et la version du système

cat /etc/os-release

2. Lire le paquet PHP-FPM installé avec son préfixe d’époque

rpm -q --qf '%{NAME} %{EPOCHNUM}:%{VERSION}-%{RELEASE}\n' php-fpm

3. Lire les informations du fournisseur et du paquet

rpm -qi php-fpm

Pour un autre gestionnaire web, utilisez le paquet PHP installé correspondant. Relevez la version complète après le nom, y compris le préfixe d’époque tel que 0: et le suffixe complet du module. Le flux PHP doit correspondre exactement à celui sélectionné. Demandez à l’administrateur de confirmer le dépôt officiel et que ce paquet sert le site. Remi et les autres flux tiers sont exclus de cette comparaison.

Autres distributions Linux ou PHP sous Windows/macOS

La vérification du système est distincte de PHP. Ne choisissez pas un paquet Ubuntu, Debian ou RPM ressemblant à celui d’un autre fournisseur. Utilisez les données de l’hébergeur et ses avis de sécurité. Une combinaison non couverte renvoie « Impossible à déterminer ». Un en-tête visible PHP/7.4.3 ne suffit pas à prouver la présence de correctifs rétroportés.

Le rapport couvre les avis publiés pour les combinaisons distribution/PHP ci-dessus et inclut les nouvelles fiches lors de l’actualisation du flux. Seules les combinaisons répertoriées sont couvertes. Les autres distributions, paquets tiers et extensions WordPress nécessitent l’évaluation de leur fournisseur. Des données de plus de 12 heures donnent un résultat indéterminé.

Avis PHP des fournisseurs Linux couverts, via OSV.dev. Fiches Ubuntu publiées par Canonical, obtenues via OSV.dev. L’extrait filtré des avis est adapté sous licence CC BY-SA 4.0. Télécharger l’extrait commun des avis.Sources des données et licences.

Pour les propriétaires d’appareils et de serveurs

3. Vérifier les mises à jour de sécurité du système

Comparez un build Windows Server ou une version macOS aux mises à jour publiées par le fournisseur. Vos saisies restent sur votre appareil. Pour Linux, utilisez la vérification du paquet ci-dessus et les outils de sécurité de votre distribution.

Où trouver la version ?

Pour un Windows Server distant, utilisez la console approuvée de l’hébergeur ou un accès Bureau à distance existant. N’activez pas un accès distant pour cette seule vérification. Ouvrez Exécuter (Windows + R), saisissez winver et copiez la version du serveur et le build complet du système, y compris la révision après le point. Cette autre commande PowerShell en lecture seule affiche le build et sa révision :
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' | Select-Object ProductName, CurrentBuild, UBR
Combinez CurrentBuild et UBR avec un point. Choisissez les mises à jour cumulatives standard uniquement si ce serveur est maintenu ainsi. Sur votre Mac, ou via une session distante existante approuvée par l’administrateur, ouvrez le menu Pomme → À propos de ce Mac pour la version macOS, puis Réglages Système → Général → Mise à jour de logiciels pour voir les mises à jour proposées à ce Mac. Dans Terminal, sw_vers -productVersion affiche la version. Cette commande ne nécessite pas de droits administrateur.

Les mises à jour Linux dépendent des paquets. Utilisez les outils et informations de sécurité de votre distribution, ainsi que la vérification PHP distincte ci-dessus. Le numéro du système seul ne permet pas de déterminer l’état des correctifs d’une machine Linux.

Informations de publication provenant de Microsoft et Apple. Au-delà de 12 heures, les données donnent un résultat indéterminé. Cette vérification porte sur les versions fournies, pas sur l’appareil, ses services en cours ni sa sécurité globale.

Que fait ce vérificateur de sécurité web ?

Il vérifie la connexion HTTPS finale, certains en-têtes, les déclarations publiques de logiciels et un nombre limité de références HTTP et d’actions de formulaires. Vous recevez les preuves observées et une prochaine étape suggérée. Il partage la réponse publique, le cache et le quota quotidien avec les outils Inspecteur de site web et analyseur SEO.

Un bon résultat signifie-t-il qu’un site est sûr ?

Non. Il n’existe pas de note globale de sécurité. Un site malveillant peut utiliser HTTPS et un en-tête présent peut être inefficace. L’absence d’un en-tête facultatif n’est pas automatiquement une vulnérabilité. Nous ne testons ni connexions, ni paiements, ni logiciels malveillants, ni chemins cachés, ni cookies, ni exploitations de logiciels.

Cet outil vérifie-t-il les vulnérabilités PHP ou WordPress ?

Une plateforme ou version visible est un indice, pas une preuve de correction. Un fournisseur peut rétroporter un correctif sans changer la version publique, et un proxy modifier une bannière. L’évaluation PHP ci-dessus compare les paquets Ubuntu, Debian, AlmaLinux et Rocky Linux répertoriés avec les avis de leur fournisseur, à partir des données fournies par le propriétaire. Elle reconnaît les rétroportages et couvre d’autres avis PHP publiés ainsi que les problèmes actuels. Les versions PHP tierces et extensions WordPress nécessitent les contrôles de leur propre fournisseur. La section système compare séparément les builds Windows Server et versions macOS aux publications du fournisseur. Cet outil n’envoie aucune requête d’exploitation.

Comment utiliser les recommandations ?

Partez du comportement voulu de la page. Vérifiez la couverture HTTPS, examinez la politique et testez une modification en préproduction. Confirmez le fonctionnement des formulaires, médias et intégrations nécessaires. Consultez notre guide d’interprétation des vérifications de sécurité pour une démarche pratique et des références techniques.

Et si la page est incomplète ou bloquée ?

Les observations décrivent la réponse reçue, qui peut être une erreur ou un contrôle antibot. Une lecture HTML incomplète ne prouve pas l’absence d’une référence. Un échec TLS arrête la vérification ; nous ne contournons pas la validation du certificat.

L’outil parcourt-il tout le site ?

Non. L’outil lit une page publique et ses instructions d’exploration. Il ne suit pas les ressources, ne soumet aucun formulaire, n’exécute aucun script et ne surveille pas le site. Les paramètres de requête, adresses privées et identifiants sont refusés. Les instantanés en cache gardent l’heure de leur vérification ; tous les outils partagent le même quota limité.