En-têtes HTTP, cookies de session, clés d'API oubliées, contenu mixte, formulaires : SecHunter passe jusqu'à 50 pages au crible en quelques minutes, sans rien attaquer, et vous dit quoi corriger.
L'aperçu
La méthode
01
L'adresse de votre site web, avec ou sans protocole https://.
Une adresse
02
Votre navigateur suit les liens internes, lot par lot, en respectant robots.txt.
Jusqu'à 50 pages
03
Chaque réponse est lue à froid : en-têtes de sécurité, HTTPS et attributs des cookies.
En-têtes & Cookies
04
Clés d'API dans le code, contenu mixte, formulaires exposés : tout est classé par gravité.
Failles classées
05
Chaque faille explique le risque et donne la ligne de configuration à ajouter.
Correctifs & CSV
Les contrôles
Les standards
Chaque contrôle s'appuie sur une recommandation de l'OWASP, de l'ANSSI ou d'une RFC, et chaque alerte propose un correctif directement applicable.
| Contrôle | Standard recommandé | Référentiel |
|---|---|---|
| Content-Security-Policy | CSP stricte sans unsafe-inline | W3C CSP Level 3 / OWASP |
| Strict-Transport-Security | max-age ≥ 15 552 000 (6 mois) | RFC 6797 / ANSSI |
| Anti-Clickjacking | DENY ou SAMEORIGIN | RFC 7034 |
| MIME Sniffing | nosniff obligatoire | Standard Fetch / OWASP |
| Cookies de session | Secure; HttpOnly; SameSite=Lax | RFC 6265bis |
| Secrets dans le code | Aucune clé privée en dur | OWASP Top 10 (A01/A02) |
Les sources
Les contrôles SecHunter s'appuient sur des recommandations et standards reconnus en sécurité web.
Panorama des principaux risques de sécurité des applications web.
Conseils pratiques pour prévenir les vulnérabilités applicatives.
Guides et recommandations de sécurité des systèmes d'information.
Spécification des politiques de sécurité du contenu web.
Standards HTTP, HSTS, cookies et signalement des vulnérabilités.
Comportement standardisé des requêtes web et de leurs en-têtes.
Sous le capot
SecHunter lit ce que tout visiteur reçoit : en-têtes, cookies, HTML et scripts. Pas d'injection, pas de force brute, pas de charge inutile sur votre serveur.
Il garde la file des pages et demande des lots de quatre au serveur. Aucun résultat n'est stocké : le rapport reste chez vous.
robots.txt est suivi et le crawl ralentit dès que le serveur le demande. Aucune adresse du réseau privé n'est joignable.
Un audit passif repère les erreurs de configuration les plus fréquentes. Il ne remplace pas un test d'intrusion, et le dit.
Jusqu'à 50 pages auditées gratuitement, sans compte ni installation.
Auditer mon site →Communauté
Posez vos questions sur vos audits, échangez sur la sécurité web et découvrez les nouveautés de nos outils.