SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments [surecart] < 4.9.6 — confirmé par la base publique WPVulnerability.net pour la version installée 4.9.2.

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-112241)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-106599, e3be0cea3b7405c1576872b9573b7feeb2f97a07Élevée

SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments [surecart] < 4.9.4 — confirmé par la base publique WPVulnerability.net pour la version installée 4.9.2.

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-106599)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-105874, 5cd8edd3aa3c91593b8cf969bacc8d406c86d91eÉlevée

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-105874)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-109224, c180b7a2a4d5551bfe7bfabfb861a15430791fadÉlevée

SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments [surecart] < 4.9.5 — confirmé par la base publique WPVulnerability.net pour la version installée 4.9.2.

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-109224)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-108073, e34b307bc593aaae0fe0f40394e75d2d4913c2ccÉlevée

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-108073)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-112221, 55dab681888528ddd96547f7a818285593ead927Élevée

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-112221)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-109697, 13e8b1cd9950f5d507d03aba0f43b2ec513904cfMoyenne

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-109697)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-112840, 15c5b279c16c0f86bc064e986bfdd7ca11ff1bdcMoyenne

🔎 Preuve : Version lue dans /wp-content/plugins/surecart/readme.txt : 4.9.2 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-112840)

🔒 Recommandation détaillée débloquée avec le rapport complet

Elementor Website Builder – more than just a page builder 4.3.3 — 2 vulnérabilités connues

Élevée

Voir les 2 vulnérabilités →

CVE-2026-81813, 2579b12444f2c285e8786ce42ff63da3e89aef5dÉlevée

Elementor Website Builder – more than just a page builder [elementor] < 4.3.5 — confirmé par la base publique WPVulnerability.net pour la version installée 4.3.3.

🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 4.3.3 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-81813)

🔒 Recommandation détaillée débloquée avec le rapport complet

CVE-2026-81812, 5f6180fced5b25863ecfcf3b508d3e60a608b6c2Élevée

Elementor Website Builder – more than just a page builder [elementor] < 4.3.5 — confirmé par la base publique WPVulnerability.net pour la version installée 4.3.3.

🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 4.3.3 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-81812)

🔒 Recommandation détaillée débloquée avec le rapport complet

En-tête de sécurité manquant ou mal configuré : Content-Security-Policy (CSP)

Élevée

Le test Mozilla HTTP Observatory indique que Content-Security-Policy (CSP) n'est pas correctement configuré sur ce site (résultat technique : csp-not-implemented).

🔎 Preuve : Mozilla HTTP Observatory — test "content-security-policy", résultat "csp-not-implemented", impact sur le score : -25.

🔒 Recommandation détaillée débloquée avec le rapport complet

En-tête de sécurité manquant ou mal configuré : X-Frame-Options

Élevée

Le test Mozilla HTTP Observatory indique que X-Frame-Options n'est pas correctement configuré sur ce site (résultat technique : x-frame-options-not-implemented).

🔎 Preuve : Mozilla HTTP Observatory — test "x-frame-options", résultat "x-frame-options-not-implemented", impact sur le score : -20.

🔒 Recommandation détaillée débloquée avec le rapport complet

Technologie détectée : WordPress

Info

Le scan a identifié WordPress sur ce site.

🔎 Preuve : chemin '/wp-content/' trouvé dans le HTML ; chemin '/wp-includes/' trouvé dans le HTML ; référence '/wp-json' trouvée dans le HTML (API REST WordPress)

🔒 Recommandation détaillée débloquée avec le rapport complet

En-tête X-Powered-By exposé

Info

Le serveur expose la bannière technique "PHP/8.3", ce qui facilite le ciblage d'attaques par un tiers malveillant (fuite d'information, expose_php actif).

🔎 Preuve : En-tête HTTP X-Powered-By lu directement : "PHP/8.3"

🔒 Recommandation détaillée débloquée avec le rapport complet

Plugin "Brevo – Email, SMS, Web Push, Chat, and more." 3.3.5 — aucune CVE connue

Info

Plugin détecté en version 3.3.5. Aucune vulnérabilité connue ne correspond à cette version dans la base WPVulnerability.net.

🔎 Preuve : Version lue dans /wp-content/plugins/mailin/readme.txt : 3.3.5 ; comparée aux 11 entrée(s) de la base WPVulnerability.net pour le slug "mailin"

🔒 Recommandation détaillée débloquée avec le rapport complet

Plugin "Site Kit by Google – Analytics, Search Console, AdSense, Speed" 1.188.0 — aucune CVE connue

Info

Plugin détecté en version 1.188.0. Aucune vulnérabilité connue ne correspond à cette version dans la base WPVulnerability.net.

🔎 Preuve : Version lue dans /wp-content/plugins/google-site-kit/readme.txt : 1.188.0 ; comparée aux 5 entrée(s) de la base WPVulnerability.net pour le slug "google-site-kit"

🔒 Recommandation détaillée débloquée avec le rapport complet

Plugin "Contact Form 7" 6.1.7 — aucune CVE connue

Info

Plugin détecté en version 6.1.7. Aucune vulnérabilité connue ne correspond à cette version dans la base WPVulnerability.net.

🔎 Preuve : Version lue dans /wp-content/plugins/contact-form-7/readme.txt : 6.1.7 ; comparée aux 12 entrée(s) de la base WPVulnerability.net pour le slug "contact-form-7"

🔒 Recommandation détaillée débloquée avec le rapport complet

Thème "Hello Elementor" 3.4.9 — aucune CVE connue

Info

Thème détecté en version 3.4.9. Aucune vulnérabilité connue ne correspond à cette version dans la base WPVulnerability.net.

🔎 Preuve : Version lue dans /wp-content/themes/hello-elementor/style.css : 3.4.9 ; comparée aux 1 entrée(s) de la base WPVulnerability.net pour le slug "hello-elementor"

🔒 Recommandation détaillée débloquée avec le rapport complet

En-tête de sécurité manquant ou incomplet : Strict-Transport-Security (HSTS)

Info

L'en-tête HSTS n'est pas correctement configuré sur ce site (résultat Mozilla HTTP Observatory : hsts-not-implemented), ce qui laisse une fenêtre d'attaque par rétrogradation HTTPS→HTTP.

🔎 Preuve : Mozilla HTTP Observatory — test "strict-transport-security", résultat "hsts-not-implemented".

🔒 Recommandation détaillée débloquée avec le rapport complet

En-tête de sécurité manquant ou mal configuré : Subresource Integrity (SRI)

Info

Le test Mozilla HTTP Observatory indique que Subresource Integrity (SRI) n'est pas correctement configuré sur ce site (résultat technique : sri-not-implemented-but-external-scripts-loaded-securely).

🔎 Preuve : Mozilla HTTP Observatory — test "subresource-integrity", résultat "sri-not-implemented-but-external-scripts-loaded-securely", impact sur le score : -5.

🔒 Recommandation détaillée débloquée avec le rapport complet

En-tête de sécurité manquant ou mal configuré : X-Content-Type-Options

Info

Le test Mozilla HTTP Observatory indique que X-Content-Type-Options n'est pas correctement configuré sur ce site (résultat technique : x-content-type-options-not-implemented).

🔎 Preuve : Mozilla HTTP Observatory — test "x-content-type-options", résultat "x-content-type-options-not-implemented", impact sur le score : -5.

🔒 Recommandation détaillée débloquée avec le rapport complet

Email

90/100

DMARC présent mais en mode surveillance seule (p=none)

Moyenne

Enregistrement DMARC trouvé : "v=DMARC1;p=none;rua=mailto:rua@dmarc.brevo.com;sp=none;". La politique "p=none" ne fait que collecter des rapports, sans bloquer ni mettre en quarantaine les emails frauduleux usurpant ce domaine.

🔎 Preuve : Requête DNS TXT sur _dmarc.petitefabrik.fr : "v=DMARC1;p=none;rua=mailto:rua@dmarc.brevo.com;sp=none;"

🔒 Recommandation détaillée débloquée avec le rapport complet

SPF publié

Info

Enregistrement SPF trouvé : "v=spf1 include:mx.ovh.com ~all".

🔎 Preuve : Requête DNS TXT sur petitefabrik.fr : "v=spf1 include:mx.ovh.com ~all"

🔒 Recommandation détaillée débloquée avec le rapport complet

DKIM détecté (sélecteur "mail")

Info

Un enregistrement DKIM a été trouvé pour le sélecteur courant "mail". D'autres sélecteurs peuvent exister en plus de celui-ci.

🔎 Preuve : Requête DNS TXT sur mail._domainkey.petitefabrik.fr : enregistrement présent.

🔒 Recommandation détaillée débloquée avec le rapport complet

DNS

90/100

DNSSEC non activé

Moyenne

Aucun enregistrement DS validé n'a été trouvé pour petitefabrik.fr : les réponses DNS de ce domaine ne sont pas signées cryptographiquement, ce qui les rend vulnérables à l'empoisonnement de cache DNS (un attaquant pourrait rediriger le trafic vers un serveur frauduleux).

🔎 Preuve : Requête DNS-over-HTTPS (Cloudflare) sur petitefabrik.fr, type DS : aucun enregistrement DS trouvé.

🔒 Recommandation détaillée débloquée avec le rapport complet

RGPD

97/100

Traceurs tiers détectés, gestionnaire de consentement présent

Info

Traceurs détectés : Google Tag Manager, Meta/Facebook Pixel. Un gestionnaire de consentement (Complianz) a également été identifié — il reste recommandé de vérifier manuellement qu'il bloque effectivement ces traceurs avant consentement.

🔎 Preuve : Scripts détectés : Google Tag Manager, Meta/Facebook Pixel. Signature de Complianz trouvée dans le HTML.

🔒 Recommandation détaillée débloquée avec le rapport complet

Gestionnaire de consentement détecté : Complianz

Info

Une solution de gestion du consentement (Complianz) a été identifiée sur la page d'accueil.

🔎 Preuve : Signature de Complianz trouvée dans le HTML de la page d'accueil.

🔒 Recommandation détaillée débloquée avec le rapport complet

Page légale trouvée : mentions légales

Info

Un lien vers la page "mentions légales" a été trouvé sur la page d'accueil.

🔎 Preuve : Lien vers "mentions légales" trouvé dans le HTML de la page d'accueil.

🔒 Recommandation détaillée débloquée avec le rapport complet

Page légale trouvée : politique de confidentialité

Info

Un lien vers la page "politique de confidentialité" a été trouvé sur la page d'accueil.

🔎 Preuve : Lien vers "politique de confidentialité" trouvé dans le HTML de la page d'accueil.

🔒 Recommandation détaillée débloquée avec le rapport complet

Accessibilité

87/100

2 champ(s) de formulaire sans label associé sur 8

Moyenne

2 champ(s) <input>/<select>/<textarea> sur 8 n'ont ni <label for="..."> associé ni attribut aria-label/aria-labelledby, ce qui les rend difficiles à identifier pour les utilisateurs de lecteurs d'écran.

🔎 Preuve : Analyse de 8 champ(s) de formulaire : 2 sans label détecté.

🔒 Recommandation détaillée débloquée avec le rapport complet

Attribut lang présent ("fr-FR")

Info

La balise <html> précise lang="fr-FR".

🔎 Preuve : Balise <html> lue directement : lang="fr-FR"

🔒 Recommandation détaillée débloquée avec le rapport complet

1 image(s) sans texte alternatif sur 163 détectée(s)

Info

1 balise(s) <img> sur 163 n'ont pas d'attribut alt (ou un attribut vide), ce qui les rend invisibles pour les utilisateurs de lecteurs d'écran. Exemples : https://www.facebook.com/tr?id=755185989736173&ev=PageView&noscript=1.

🔎 Preuve : Analyse de 163 balise(s) <img> dans le HTML : 1 sans alt non vide.

🔒 Recommandation détaillée débloquée avec le rapport complet

Structure de titre <h1> correcte

Info

La page contient exactement un <h1>.

🔎 Preuve : Analyse de la structure des titres : 1 balise <h1> trouvée.

🔒 Recommandation détaillée débloquée avec le rapport complet

Structure sémantique HTML5 présente

Info

Balises de structure trouvées : nav, header, footer.

🔎 Preuve : Balises trouvées : nav, header, footer.

🔒 Recommandation détaillée débloquée avec le rapport complet

Performance

94/100

Temps de réponse correct (402 ms)

Info

La page d'accueil a répondu en 402 ms lors du scan.

🔎 Preuve : Temps jusqu'à la première réponse exploitable, mesuré lors du scan : 402 ms.

🔒 Recommandation détaillée débloquée avec le rapport complet

Page HTML volumineuse (584 Ko)

Info

Le document HTML de la page d'accueil pèse 584 Ko. Au-delà de quelques centaines de Ko, le HTML seul peut ralentir le premier rendu, indépendamment des images/scripts.

🔎 Preuve : Taille du document HTML lue directement : 598216 octets (584 Ko).

🔒 Recommandation détaillée débloquée avec le rapport complet

84 image(s) en format non optimisé (JPEG/PNG/BMP/GIF)

Info

84 image(s) référencée(s) utilisent un format historique (JPEG, PNG, BMP ou GIF) plutôt qu'un format moderne (WebP, AVIF), généralement 25 à 50 % plus léger à qualité équivalente.

🔎 Preuve : Analyse des extensions d'image dans le HTML : 84 au format historique sur 163 image(s) référencée(s).

🔒 Recommandation détaillée débloquée avec le rapport complet

Échantillon de 5 ressource(s) : 39 Ko au total

Info

Sur un échantillon de 5 script(s)/feuille(s) de style référencé(s) (sur 5 analysé(s)), le poids cumulé mesuré est de 39 Ko.

🔎 Preuve : Requêtes HEAD sur un échantillon de 5 ressource(s) (limite 5) : 5 en-têtes Content-Length lus.

🔒 Recommandation détaillée débloquée avec le rapport complet

Technique

97/100

robots.txt présent

Info

Un fichier /robots.txt valide a été trouvé, avec une directive Sitemap.

🔎 Preuve : GET /robots.txt → HTTP 200, balise User-agent trouvée.

🔒 Recommandation détaillée débloquée avec le rapport complet

sitemap.xml absent à l'emplacement standard

Info

Aucun fichier /sitemap.xml valide n'a été trouvé à l'emplacement standard. Il peut exister ailleurs et être référencé depuis robots.txt.

🔎 Preuve : GET /sitemap.xml : aucune réponse.

🔒 Recommandation détaillée débloquée avec le rapport complet

Échantillon de liens internes valide

Info

Les 5 lien(s) interne(s) échantillonné(s) depuis la page d'accueil répondent correctement.

🔎 Preuve : Requêtes HEAD sur 5 lien(s) interne(s) échantillonné(s) : tous répondent (< 400).

🔒 Recommandation détaillée débloquée avec le rapport complet

À vérifier

Hypothèses que le scan ne peut pas confirmer à distance avec certitude. Elles méritent une vérification manuelle mais ne sont pas comptées dans le score.

PHP 8.3 probablement vulnérable à CVE-2026-109618 / CVE-2026-109619 (LIKELY_VULNERABLE)

Critique

Le site annonce PHP 8.3, une version antérieure au correctif 8.3.36 de la branche 8.3. Ceci reste un verdict PROBABLE : la bannière peut avoir été modifiée ou un correctif rétroporté sans changement de numéro de version.

🔎 Preuve : En-tête HTTP X-Powered-By lu directement : "PHP/8.3" → version 8.3 < 8.3.36 (comparaison de version, non un test d'exploitation)

🔒 Recommandation détaillée débloquée avec le rapport complet

wp2shell (CVE-2026-63030 / CVE-2026-60137) : version du cœur non lisible

Critique

WordPress est confirmé sur ce site, mais la version exacte du cœur n'a pas pu être lue à distance. Impossible de déterminer si la chaîne wp2shell s'applique.

🔎 Preuve : WordPress confirmé par preuve, mais aucun numéro de version trouvé dans le HTML

🔒 Recommandation détaillée débloquée avec le rapport complet

Plugin "Elementor Pro" (elementor-pro) détecté, version non lisible

Moyenne

Ce plugin est référencé dans les assets de la page, mais sa version exacte n'a pas pu être lue (pas de readme.txt accessible). Des vulnérabilités sont connues pour ce plugin dans la base publique WPVulnerability.net : CVE-2020-26596, ed54f88f6981b6b7a9ae563d3257d22327e2e399, CVE-2020-13125, CVE-2020-13126, 29bffd7f345e494f8622f45cfdd4ff1f4078f69e.

🔎 Preuve : Slug "elementor-pro" trouvé dans les assets enqueued du HTML ; readme.txt inaccessible à distance

🔒 Recommandation détaillée débloquée avec le rapport complet

MTA-STS : résolution DNS indisponible (INDETERMINE)

Info

La requête DNS pour vérifier MTA-STS n'a pas abouti (service DNS temporairement indisponible ou délai dépassé). Aucune conclusion ne peut être tirée pour l'instant.

🔎 Preuve : Requête DNS sur _mta-sts.petitefabrik.fr : échec ou timeout.

🔒 Recommandation détaillée débloquée avec le rapport complet

TLS-RPT : résolution DNS indisponible (INDETERMINE)

Info

La requête DNS pour vérifier TLS-RPT n'a pas abouti (service DNS temporairement indisponible ou délai dépassé). Aucune conclusion ne peut être tirée pour l'instant.

🔎 Preuve : Requête DNS sur _smtp._tls.petitefabrik.fr : échec ou timeout.

🔒 Recommandation détaillée débloquée avec le rapport complet

BIMI : résolution DNS indisponible (INDETERMINE)

Info

La requête DNS pour vérifier BIMI n'a pas abouti (service DNS temporairement indisponible ou délai dépassé). Aucune conclusion ne peut être tirée pour l'instant.

🔎 Preuve : Requête DNS sur default._bimi.petitefabrik.fr : échec ou timeout.

🔒 Recommandation détaillée débloquée avec le rapport complet

Rapport de sécurité complet pour petitefabrik.fr

Analyse détaillée de chaque vulnérabilité, impact concret pour votre activité, et plan d'action priorisé avec les étapes exactes selon votre hébergeur.

Résumé pour petitefabrik.fr : 15 points nécessitant une action a été identifié lors du scan.

Priorité n°1 : corriger les constats de sévérité la plus élevée ci-dessus en premier.

Étape 1 — Accéder au panneau d'hébergement et localiser le sélecteur de version concerné, puis appliquer la mise à jour recommandée sans interrompre le service.

Étape 2 — Vérifier l'absence de fichiers suspects et confirmer la bonne application du correctif avant de clore le dossier.

✅ Votre rapport débloque : 15 correctifs priorisés
✅ Les étapes exactes pour votre hébergeur (OVH, o2switch, cPanel…)
✅ Un plan d'action daté, prêt à suivre

Envoyé en 30s · pas de spam · désinscription 1 clic

Me surveiller et m'alerter gratuitement des nouvelles failles concernant petitefabrik.fr

Faire confirmer et corriger par un expert →

Analyse et rapport entièrement gratuits. Aucune carte bancaire.

Audit informatif à visée préventive. Les constats « probables » nécessitent une vérification manuelle. ScanMonSite ne saurait être tenu responsable des décisions prises sur la base de ce rapport.