Analyse de site web en ligne : diagnostic gratuit de votre WordPress

Une lenteur, une alerte de sécurité, une page qui ne s'affiche plus, ou simplement l'envie de faire le point : l'outil ci-dessous lit la page d'accueil de votre site et quelques adresses connues de WordPress, en lecture seule, et vous rend un score sur 100 avec les points à corriger. Quelques secondes, sans inscription ni installation.

Si le résultat vous inquiète, ou s'il ne vous suffit pas, notre équipe reprend l'analyse à la main : c'est le diagnostic gratuit sous 12 heures.

Ce que l'analyse instantanée vérifie

L'analyseur se comporte comme un visiteur : il demande votre page d'accueil, lit les en-têtes renvoyés, puis teste quatre adresses que WordPress installe par défaut. Il ne tente aucune connexion et ne modifie rien. Cinq requêtes, six secondes au plus chacune.

Ces en-têtes ne sont pas une invention maison. Le Strict-Transport-Security décrit par MDN force le navigateur à n'utiliser que https et l'empêche de passer outre une erreur de certificat, avec une faiblesse que MDN rappelle : il ne s'applique qu'après une première connexion sécurisée. La politique de sécurité du contenu décide, elle, quelles ressources une page a le droit de charger : c'est la barrière qui limite les dégâts d'un script injecté. Notre guide sur forcer le https et le HSTS sur WordPress donne les réglages exacts.

Analyser son site soi-même : 10 vérifications avec des outils gratuits

Aucun de ces services ne dit la même chose que les autres : voici ce que chacun mesure réellement, d'après sa propre documentation.

PageSpeed Insights : la vitesse vue par Google

PageSpeed Insights affiche deux choses distinctes : les mesures réelles de vos visiteurs sous Chrome sur 28 jours (LCP, INP, CLS, FCP) et une simulation Lighthouse. Google précise que les deux peuvent diverger : le terrain décrit l'expérience vécue, la simulation sert à déboguer.

Search Console : ce que Google sait de votre site

La Search Console est le seul endroit où Google vous parle directement. Son rapport « Problèmes de sécurité » signale le contenu piraté, les logiciels malveillants et l'ingénierie sociale. C'est de là que se demande le réexamen, dont Google annonce le délai en jours ou en semaines. Voir l'alerte de sécurité dans la Search Console.

Safe Browsing : êtes-vous signalé aux navigateurs ?

Google Safe Browsing compare les adresses aux listes de Google et prévient l'internaute avant qu'il ne clique : ingénierie sociale, logiciels malveillants, logiciels indésirables. La page État du site dit si votre domaine y figure. Si oui, voyez sortir de la liste noire.

SSL Labs : la qualité réelle de votre HTTPS

Le SSL Server Test de Qualys analyse en profondeur la configuration TLS d'un serveur public et rend une note de A+ à F. Le cadenas du navigateur ne dit rien des protocoles anciens encore acceptés : cette note, si.

securityheaders.com : vos en-têtes en une note

Security Headers, de Scott Helme, lit les en-têtes de réponse et attribue une note de A+ à F, avec le détail par en-tête (politique de sécurité du contenu, X-Frame-Options, cookies). Le HTTP Observatory de Mozilla fait un travail voisin.

VirusTotal : l'avis de plus de 70 moteurs

VirusTotal soumet une adresse à plus de 70 antivirus et services de listes noires, qui distinguent sites de logiciels malveillants, d'hameçonnage et sites suspects. Un seul moteur positif est souvent un faux positif, la documentation le dit. Notre article sur VirusTotal explique comment lire le tableau.

Sucuri SiteCheck : le scan à distance

SiteCheck visite votre site comme un internaute, cherche du code malveillant dans le code source, vérifie les listes noires (Google, PhishTank) et repère les logiciels obsolètes. Sucuri précise que son scanner n'a accès qu'au niveau du navigateur : un résultat « propre » ne prouve rien.

WPScan : la base des vulnérabilités WordPress

WPScan maintient une base des failles du cœur, des extensions et des thèmes : 79 509 vulnérabilités recensées au 7 septembre 2026. Le scanner en ligne de commande et l'API sont gratuits pour un usage non commercial, 25 appels par jour. Voir notre guide pour scanner les vulnérabilités d'un site WordPress.

Validateur du W3C : le code de vos pages

Le validateur du W3C vérifie la syntaxe du balisage HTML. Le W3C rappelle la limite de l'exercice : « un document valide n'est pas nécessairement une bonne page web ». Un balisage cassé explique en revanche beaucoup de bizarreries d'affichage.

GTmetrix : un second avis sur la performance

GTmetrix construit sa note à partir de deux scores : une performance inspirée du barème de Lighthouse avec des formules maison, et une structure issue des audits « opportunités » et « diagnostics ». Utile comme deuxième mesure. Si le site traîne, voyez site WordPress lent.

Ce que seul un humain voit

Ces dix outils, et le nôtre avec eux, regardent votre site de l'extérieur. Aucun ne peut ouvrir un fichier ni lire une table. C'est pourtant là que se cachent les problèmes qui coûtent cher.

• Les fichiers. Le cœur, le thème et chaque extension sont comparés à leur version d'origine. Un fichier PHP ajouté dans wp-content/uploads ou dans mu-plugins ne se voit d'aucune autre façon.
• La base de données. Options siteurl et home détournées, script injecté dans les articles, tâche planifiée inconnue, compte administrateur que vous n'avez pas créé.
• Les journaux du serveur. Ils datent l'intrusion et désignent souvent la porte utilisée. C'est la seule preuve exploitable face à un hébergeur ou à un assureur.
• Les extensions et le thème. Versions réelles, failles connues, extensions abandonnées par leur auteur, thème acheté d'occasion et modifié.
• Le contexte. Un outil ne saura jamais si une erreur 403 est un incident ou une protection voulue.

Ce diagnostic est gratuit, rendu sous 12 heures : ce que nous avons trouvé et ce que coûterait la correction. Pour un examen plus large, voyez l'audit de sécurité, le scan manuel ou notre guide de l'audit de sécurité WordPress.

Après le diagnostic

Le diagnostic ne vous engage à rien. S'il faut intervenir, deux suites possibles, à des prix annoncés avant de commencer.

• Réparation à prix fixe, 350 €. Panne, écran blanc, erreur critique, site piraté : nous corrigeons, nous livrons sous 48 heures et nous remboursons si nous n'y arrivons pas. Voir la réparation de site et, pour une infection, le nettoyage d'un site piraté.
• Assurance et maintenance, 50 € par mois. Mises à jour, sauvegardes, surveillance et nouvelle intervention si un problème revient : voir l'assurance et maintenance. La grille complète est sur la page des tarifs.

Site qui fonctionne mais se comporte mal ? Notre page mon site WordPress bug recense les pannes les plus fréquentes.