Exemple fictif
Illustration destinée aux clients potentiels. La Clinique Lavigne et clinique-lavigne-exemple.ca n’existent pas ; chaque élément ci-dessous est une vraie règle de l’instrument, formulée comme le propriétaire la recevrait, appliquée à un site inventé construit sur une plateforme hébergée.
Avis d’observation de sécurité : Clinique Lavigne (exemple fictif)
- À
- Clinique Lavigne, propriétaire de clinique-lavigne-exemple.ca
- De
- Marco Presta, Les Logiciels Presta inc.
- Date
- 2026-11-01
- Objet
- Une lecture seule de clinique-lavigne-exemple.ca le 2026-11-01 : 2 moyens, 3 faibles, 2 pour information
- Traitement
- Pour vous, propriétaire du site, avec votre accord. Ni publié ni partagé avec quiconque.
Pourquoi vous recevez cet avis
Avec votre accord, j’ai fait une lecture seule de votre site Web public le 2026-11-01. Mon outil a ouvert votre page comme le fait le navigateur d’un visiteur, a lu quelques fichiers standards, ne s’est connecté à rien, n’a rempli aucun formulaire et n’a rien tenté de casser. Votre site est construit sur Wix : certains éléments relèvent donc de Wix, pas de vous ; chacun le précise.
Ce qui compte le plus, dans l’ordre
- Un témoin (cookie) posé par votre site n’a pas la marque « Secure » [cookie-no-secure, moyen, observé] Votre site enregistre un petit fichier dans le navigateur du visiteur, nommé XSRF-TOKEN, sans la marque « Secure » qui dit au navigateur de ne l’envoyer que sur une connexion chiffrée. En général, rien à changer de votre côté : sur Wix, ce témoin est normalement celui de Wix, et eux seuls peuvent ajouter la marque. Référence : RFC 6265, section 4.1.2.5.
- Vos pages peuvent être affichées à l’intérieur de la page de quelqu’un d’autre [framing-unrestricted, moyen, observé] Aucune instruction ne dit aux navigateurs de refuser vos pages dans un cadre sur un autre site ; c’est ainsi qu’une page copieuse peut montrer votre vraie page de rendez-vous sous son propre nom. Sur Wix, cet en-tête est posé par la plateforme ; c’est à elle de l’ajouter. Référence : guide OWASP sur le clickjacking.
Éléments de moindre priorité
- Vos coordonnées sont imprimées en clair sur votre page [contact-data-printed, faible, observé] Un numéro de téléphone et un lien courriel cliquable, sous une forme que des programmes automatisés copient et qui finit sur des listes d’appels et de pourriels. C’est votre contenu, donc entre vos mains : un formulaire de contact, ou un bouton qui révèle le numéro au toucher. Les garder imprimés reste un choix légitime.
- Des fichiers externes se chargent sur votre page sans vérification d’empreinte [thirdparty-script-no-sri, faible, observé] Trois petits programmes (un module de rendez-vous, une balise d’analyse, un service de polices) ; sur une plateforme hébergée, ils appartiennent normalement à Wix et à ses partenaires, rien à épingler de votre côté. Référence : W3C Subresource Integrity.
- Pas de fichier de contact security.txt sur votre site [securitytxt-missing, faible, observé] Quelqu’un qui remarque un problème n’a aucun moyen publié de vous le dire. Une ligne dans /.well-known/security.txt suffit ; sinon la page contact fait le travail. Référence : RFC 9116.
Pour information
- Une fenêtre de clavardage est référencée dans le code de votre page [chatbot-present, info, observé] Rien à corriger ; sachez qui l’exploite et où va ce que les visiteurs y écrivent.
- Les connexions chiffrées utilisent TLS 1.2 [tls13-not-supported, info, observé] Acceptable ; activez TLS 1.3 quand votre plateforme l’offre.
Ce que cela veut dire pour vous, en une phrase
Rien d’urgent. Deux des sept éléments sont à Wix, trois sont à vous et peu coûteux, deux sont pour information. La chose à faire ce mois-ci : les coordonnées, si vous recevez des appels indésirables. Puis la ligne security.txt. La seconde lecture, après vos correctifs, dira ce qui a changé.
Comment cela a été observé
L’observateur a ouvert votre page comme un navigateur de visiteur, a lu quelques fichiers standards, ne s’est connecté à rien, n’a rempli aucun formulaire et n’a rien tenté de casser. Au plus neuf contacts en tout. Le protocole complet est dans le guide qui accompagne cet avis.
Contexte
La référence à côté de chaque élément est la norme citée ; la sévérité est la cote fixe de l’observateur par règle, non une évaluation de votre risque. Rien ici n’est une détermination de conformité. Cet avis vous appartient ; nous en gardons une copie douze mois et ne le partageons avec personne.