Quels sont les meilleurs scanners de sécurité gratuits pour un site web ?
Dernière vérification : 30 octobre 2026
Il n'existe pas un seul « meilleur » scanner gratuit : Sucuri SiteCheck, Mozilla HTTP Observatory, Qualys SSL Labs, securityheaders.com, WPScan et ScanMonSite couvrent chacun un périmètre différent, et aucun ne couvre tout. Sucuri SiteCheck détecte le malware injecté et le statut de blacklist (source : sitecheck.sucuri.net) ; Mozilla HTTP Observatory et securityheaders.com ne testent que les en-têtes HTTP de sécurité ; Qualys SSL Labs ne teste que la configuration TLS du serveur ; WPScan vérifie les vulnérabilités WordPress avec un quota API gratuit plafonné à 25 requêtes par jour (source : wpscan.com/pricing) ; ScanMonSite croise plusieurs de ces dimensions (versions vulnérables, TLS, en-têtes, DNS email, RGPD, accessibilité) en un seul scan passif, sans tester le malware ni nettoyer un site déjà infecté.
Vérifiez votre site sur plusieurs de ces dimensions à la fois, en 30 secondes.
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Ce que le scan vérifie sur ce point :
- Détection des technologies et versions installées (PHP, cœur WordPress, plugins et thèmes, Node.js, Apache Tomcat, nginx, Apache httpd, Drupal, Joomla, Jenkins, Grafana, Elasticsearch), comparées aux vulnérabilités publiques connues
- Validité, expiration et chaîne du certificat TLS, forçage HTTPS
- En-têtes HTTP de sécurité (CSP, HSTS, X-Frame-Options, Referrer-Policy, cookies, Cross-Origin…) via le moteur Mozilla HTTP Observatory intégré à notre scanner
- Présence de SPF, DKIM et DMARC sur le domaine
- Présence d'un bandeau de consentement cookies reconnu et des liens vers les mentions légales et la politique de confidentialité
- Bases d'accessibilité HTML (attribut lang, textes alternatifs, structure des titres, champs de formulaire étiquetés)
Le tableau comparatif
| Outil | Ce qu'il vérifie | Gratuit / payant | Limite principale |
|---|---|---|---|
| Sucuri SiteCheck | Malware injecté, statut de blacklist (Google Safe Browsing, PhishTank…), CMS/plugins obsolètes, défacement | Gratuit | Scan 100 % externe, vue navigateur uniquement — rien côté serveur ; le nettoyage est un service payant séparé |
| Mozilla HTTP Observatory | En-têtes HTTP de sécurité : CSP, HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin (CORS/COOP/COEP), cookies, Subresource Integrity, redirection HTTPS | Gratuit | Uniquement les en-têtes déclaratifs — aucun test de malware, de TLS en profondeur ou de vulnérabilité applicative |
| Qualys SSL Labs (SSL Server Test) | Configuration TLS/SSL du serveur : protocoles acceptés, suites de chiffrement, chaîne de certificat, vulnérabilités TLS connues | Gratuit | Uniquement la couche TLS — rien sur les en-têtes HTTP, le contenu ou le malware |
| securityheaders.com | 6 en-têtes HTTP de sécurité notés : CSP, HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy | Gratuit | Même périmètre restreint que Mozilla HTTP Observatory — en-têtes seulement |
| WPScan | Vulnérabilités du cœur WordPress, des plugins et des thèmes installés, énumération d'utilisateurs | CLI gratuite ; API gratuite plafonnée à 25 requêtes/jour | Spécifique à WordPress uniquement ; le quota gratuit s'épuise vite sur un site à plusieurs plugins |
| ScanMonSite | Versions PHP/WordPress/Node.js/serveurs web vs failles connues, certificat TLS, en-têtes HTTP, SPF/DKIM/DMARC, bandeau cookies, bases d'accessibilité, performance, hygiène technique | Gratuit | Scan passif : ne détecte ni malware injecté ni défacement, ne lit ni le système de fichiers ni les comptes utilisateurs, ne nettoie pas un site déjà piraté |
Sucuri SiteCheck : malware et blacklist, pas de TLS ni d'en-têtes
Sucuri SiteCheck analyse une page depuis l'extérieur, comme le ferait un navigateur, pour repérer du code malveillant injecté, un défacement ou un signalement sur les listes noires des principaux moteurs. Sa propre documentation précise que le scanner distant n'a accès qu'à ce qui est visible au niveau du navigateur, et ne détecte rien côté serveur. Le nettoyage d'un site infecté n'est pas inclus dans ce scan gratuit : c'est une offre payante distincte.
Mozilla HTTP Observatory et securityheaders.com : les en-têtes HTTP, rien de plus
Ces deux outils testent la même famille de réglages : les en-têtes de réponse HTTP qui durcissent un site contre le détournement de clic, l'injection de script ou la fuite de référent. Mozilla HTTP Observatory, désormais hébergé sur MDN, couvre une dizaine de tests (CSP, HSTS, cookies, Cross-Origin, Subresource Integrity…) avec une note de A+ à F. securityheaders.com se concentre sur six en-têtes avec la même échelle de notation. Aucun des deux ne regarde la configuration TLS, le contenu de la page ou une éventuelle infection.
Qualys SSL Labs : uniquement la couche TLS
Le SSL Server Test de Qualys teste exclusivement la configuration TLS/SSL exposée par le serveur : protocoles encore acceptés, solidité des suites de chiffrement, validité de la chaîne de certificat, et vulnérabilités TLS historiques comme Heartbleed ou POODLE. Depuis que TLS 1.0 et TLS 1.1 sont jugés obsolètes, leur maintien actif plafonne désormais la note à B, quelle que soit la qualité du reste de la configuration. Cet outil ne dit rien des en-têtes HTTP, du contenu du site ou d'une éventuelle compromission.
Testez votre site maintenant
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
WPScan : les vulnérabilités WordPress, avec un quota gratuit limité
WPScan compare le cœur WordPress, les plugins et les thèmes installés à sa propre base de vulnérabilités, et peut tester l'énumération d'utilisateurs. La ligne de commande est gratuite, mais l'accès à l'API de vulnérabilités en version gratuite est plafonné à 25 requêtes par jour (plan « Researcher », usage non commercial, selon sa page tarifaire officielle) : un site avec de nombreux plugins installés consomme vite ce quota, puisqu'il faut une requête par composant détecté. L'outil ne couvre, par conception, que l'écosystème WordPress.
ScanMonSite : plusieurs dimensions en une fois, toujours un scan passif
ScanMonSite croise, en un seul scan, la détection de versions vulnérables (PHP, WordPress et ses plugins, Node.js, plusieurs serveurs web), la configuration TLS, les en-têtes HTTP de sécurité, la présence de SPF/DKIM/DMARC, un bandeau cookies et des bases d'accessibilité. C'est la même logique qui a motivé le choix d'intégrer directement le moteur Mozilla HTTP Observatory plutôt que de réécrire un détecteur d'en-têtes maison. Comme tous les outils de ce comparatif, le scan reste passif : il ne lit ni votre système de fichiers, ni votre liste d'utilisateurs, ne teste aucun malware déjà injecté et ne nettoie rien.
Comment choisir, concrètement
- Pour un contrôle rapide multi-dimensions (versions, TLS, en-têtes, email, conformité de base) : ScanMonSite.
- Pour vérifier spécifiquement une infection ou un signalement de blacklist : Sucuri SiteCheck.
- Pour creuser uniquement la configuration TLS (protocoles, chiffrement) : Qualys SSL Labs.
- Pour creuser uniquement les en-têtes HTTP : Mozilla HTTP Observatory ou securityheaders.com.
- Pour un site WordPress et un inventaire fin de ses plugins vulnérables, dans la limite du quota gratuit : WPScan.
Sources
Questions fréquentes
Faut-il utiliser plusieurs de ces scanners à la fois ?
Oui, c'est la pratique la plus fiable : aucun des six ne couvre seul tout le périmètre. Combiner un testeur TLS (Qualys SSL Labs), un vérificateur d'en-têtes (Mozilla HTTP Observatory ou securityheaders.com) et un scanner multi-dimensions (ScanMonSite) donne une vue plus complète qu'un seul outil.
Un scanner gratuit peut-il remplacer un audit de sécurité manuel ?
Non. Les six outils de ce comparatif effectuent des vérifications automatisées et passives. Aucun ne remplace un audit manuel approfondi (test d'intrusion, revue de code) réalisé par un professionnel.
Pourquoi WPScan ne convient-il qu'aux sites WordPress ?
Sa base de vulnérabilités (plus de 93 500 entrées cataloguées selon sa documentation officielle) ne couvre que le cœur WordPress, ses plugins et ses thèmes. Aucune autre technologie — PHP seul, Node.js, un autre CMS — n'entre dans son périmètre.
Pourquoi Qualys SSL Labs et Mozilla HTTP Observatory donnent-ils des résultats différents sur le même site ?
Parce qu'ils ne testent pas la même chose : Qualys SSL Labs évalue uniquement la configuration TLS du serveur, Mozilla HTTP Observatory évalue uniquement les en-têtes HTTP. Un site peut avoir un TLS irréprochable et des en-têtes absents, ou l'inverse — les deux notes sont indépendantes.
Un de ces scanners peut-il nettoyer mon site s'il est déjà piraté ?
Aucun des six ne nettoie automatiquement un site compromis, y compris ScanMonSite. Sucuri propose un service de nettoyage payant séparé de son scan gratuit ; pour les autres, le nettoyage reste une intervention manuelle. Voir notre guide sur le coût de réparation d'un site piraté.
Combien de temps dure un scan ScanMonSite ?
Environ 30 secondes, le temps d'effectuer l'ensemble des requêtes passives (HTTP, DNS) sur votre site.
Ces scanners rendent-ils mes résultats publics ?
Chez ScanMonSite, les pages de résultat (/r/...) sont en noindex et ne sont jamais indexées par les moteurs de recherche. Vérifiez la politique de confidentialité propre à chaque autre outil avant de scanner un site sensible.
Un scan passif peut-il manquer une faille réelle ?
Oui, pour les six outils de cette liste. Un scan passif vérifie des versions, des en-têtes ou une configuration visible depuis l'extérieur — il ne garantit jamais l'absence totale de faille, y compris lorsque le résultat affiché est bon.
Pour aller plus loin
Vérifiez votre site
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Votre site est déjà touché ? Demandez un devis de réparation.