Google indexe ces pages ?

Oui. Ce sont des pages publiques, dans le sitemap, avec une version anglaise. Les routes /api/tools/* ne sont pas faites pour être indexées.

Vous gardez l’URL que je teste ?

Non. Le résultat s’affiche et c’est tout. La cible transite le temps de la requête.

Pourquoi un e-mail après le premier essai ?

Un passage suffit souvent. Si vous relancez — n’importe lequel des trois outils — on demande un e-mail d’entreprise, pas Gmail ni Outlook perso. Pas de compte. L’adresse sert à vous écrire si un diagnostic a du sens.

Ça remplace un audit de sécu ?

Non. Ça dit ce qui est visible. Un audit regarde le code, les comptes, le réseau, les backups. Autre métier.

Gratuit · Visible de l’extérieur

Trois contrôles. Pas un audit.

Headers, certificat, mail. Vous collez une adresse, on affiche ce qu’un navigateur ou un MTA voit déjà. Si le score est laid, ce n’est pas forcément la fin du monde — souvent un en-tête oublié au reverse proxy.

En-têtes de sécurité

CSP, HSTS, clickjacking, Referrer-Policy et les autres en-têtes HTTP visibles.

Vérifier les headers

Certificat SSL et HSTS

Validité du certificat, date d’expiration, nom, protocole TLS, et en-tête HSTS.

Vérifier SSL / HSTS

Vérification SMTP

MX, ports 587 / 465 / 25, bannière, STARTTLS. Aucun mot de passe, aucun message envoyé.

Vérifier SMTP

À quoi ça sert vraiment

On se sert de ça en cadrage, avant d’ouvrir un ticket ou de parler « pentest ». Ça prend vingt secondes et ça évite de débattre dans le vide : le HSTS est là ou il n’est pas là.

Ce n’est pas un scan de vulnérabilités. On ne tape pas sur l’admin, on ne brute-force rien, on refuse localhost et les IP privées. Le SMTP s’arrête à la bannière et au STARTTLS.

Comment on interroge la cible

La requête part de nos serveurs, comme un client HTTP ou TLS banal. On suit quelques redirections, on relit le nom d’hôte à chaque saut, et on jette si ça pointe vers une adresse interne.

Le résultat n’est pas archivé. Le premier passage est libre. Si vous relancez, on demande un e-mail d’entreprise — pas Gmail. Pour un vrai passage en revue (conversion, mobile), l’audit de site ou le diagnostic IT sont à côté.

Questions qu’on nous pose

Google indexe ces pages ?: Oui. Ce sont des pages publiques, dans le sitemap, avec une version anglaise. Les routes /api/tools/* ne sont pas faites pour être indexées.
Vous gardez l’URL que je teste ?: Non. Le résultat s’affiche et c’est tout. La cible transite le temps de la requête.
Pourquoi un e-mail après le premier essai ?: Un passage suffit souvent. Si vous relancez — n’importe lequel des trois outils — on demande un e-mail d’entreprise, pas Gmail ni Outlook perso. Pas de compte. L’adresse sert à vous écrire si un diagnostic a du sens.
Ça remplace un audit de sécu ?: Non. Ça dit ce qui est visible. Un audit regarde le code, les comptes, le réseau, les backups. Autre métier.

Les trois outils

Pour un regard humain sur un site vitrine (conversion, mobile, signaux visibles), il y a l’audit gratuit. Pour un SI bloqué, le diagnostic au forfait.

Auditer mon site gratuitement