Rapport d’observation de sécurité : Clinique Lavigne (exemple fictif)

Mis à jour / Updated: 2026-11-07 10:57 HNE / EST (2026-11-07T15:57Z)

Illustration destinée aux clients potentiels. La Clinique Lavigne et clinique-lavigne-exemple.ca n’existent pas ; chaque élément ci-dessous est une vraie règle de l’instrument, avec la sévérité et la référence que lui donne sa table de règles au 2026-11-07, appliquée à un site inventé construit sur une plateforme hébergée.

À : Clinique Lavigne, propriétaire de clinique-lavigne-exemple.ca
De : Marco Presta, Les Logiciels Presta inc.
Date : 2026-11-01
Objet : Une analyse de clinique-lavigne-exemple.ca le 2026-11-01 : 1 moyen, 3 faibles, 3 pour information
Traitement : Pour vous, propriétaire du site, avec votre accord. Ni publié ni partagé avec quiconque.

Pourquoi vous recevez ce rapport

Avec votre accord, j’ai fait une analyse de votre site Web public le 2026-11-01, sans aucune modification. Mon outil a ouvert votre page comme le fait le navigateur d’un visiteur, a lu quelques fichiers standards, ne s’est connecté à rien, n’a rempli aucun formulaire et n’a rien tenté de casser. Votre site est construit sur Wix : certains éléments relèvent donc de Wix, pas de vous ; chacun le précise.

Ce qui compte le plus, dans l’ordre

Un témoin (cookie) posé par votre site n’a pas la marque « Secure » [cookie-no-secure, moyen, observé]. Votre site enregistre un petit fichier dans le navigateur du visiteur, nommé XSRF-TOKEN, sans la marque « Secure » qui dit au navigateur de ne l’envoyer que sur une connexion chiffrée. En général, rien à changer de votre côté : sur Wix, ce témoin est normalement celui de Wix, et eux seuls peuvent ajouter la marque. Référence : RFC 6265, section 4.1.2.5.

Éléments de moindre priorité

Vos pages peuvent être affichées à l’intérieur de la page de quelqu’un d’autre [framing-unrestricted, faible, observé]. Aucune instruction ne dit aux navigateurs de refuser vos pages dans un cadre sur un autre site ; c’est ainsi qu’une page copieuse peut montrer votre vraie page de rendez-vous sous son propre nom. Sur Wix, cet en-tête est posé par la plateforme ; c’est à elle de l’ajouter. Référence : RFC 7034 (X-Frame-Options) ; W3C CSP Level 3 frame-ancestors.
Des fichiers externes se chargent sur votre page sans vérification d’empreinte [thirdparty-script-no-sri, faible, observé]. Trois petits programmes (un module de rendez-vous, une balise d’analyse, un service de polices) ; sur une plateforme hébergée, ils appartiennent normalement à Wix et à ses partenaires, rien à épingler de votre côté. Référence : W3C Subresource Integrity.
Pas de fichier de contact security.txt sur votre site [securitytxt-missing, faible, observé]. Quelqu’un qui remarque un problème n’a aucun moyen publié de vous le dire. Une ligne dans /.well-known/security.txt suffit ; sinon la page contact fait le travail. Référence : RFC 9116.

Pour information

Vos coordonnées sont imprimées en clair sur votre page [contact-data-printed, information, observé]. Un numéro de téléphone et un lien courriel cliquable, sous une forme que des programmes automatisés copient et qui finit sur des listes d’appels et de pourriels. C’est votre contenu, donc entre vos mains : un formulaire de contact, ou un bouton qui révèle le numéro au toucher. Les garder imprimés reste un choix légitime.
Une fenêtre de clavardage est référencée dans le code de votre page [chatbot-present, information, observé]. Rien à corriger ; sachez qui l’exploite et où va ce que les visiteurs y écrivent.
Les connexions chiffrées utilisent TLS 1.2 [tls13-not-supported, information, observé]. Acceptable ; activez TLS 1.3 quand votre plateforme l’offre. Référence : bonne pratique.

Ce que cela veut dire pour vous, en une phrase

Rien d’urgent. Trois des sept éléments sont à Wix (le témoin, l’affichage en cadre, les fichiers externes), deux sont à vous et peu coûteux (les coordonnées, la ligne security.txt), deux sont pour information seulement. La chose à faire ce mois-ci : les coordonnées, si vous recevez des appels indésirables. Puis la ligne security.txt. La seconde analyse, après vos correctifs, dira ce qui a changé.

Comment cela a été observé

L’observateur a ouvert votre page comme un navigateur de visiteur, a lu quelques fichiers standards, ne s’est connecté à rien, n’a rempli aucun formulaire et n’a rien tenté de casser. Au plus neuf contacts en tout. Le protocole complet est dans le guide qui accompagne ce rapport.

Contexte

La référence à côté de chaque élément est la norme citée ; la sévérité est la cote fixe de l’observateur par règle, non une évaluation de votre risque. Rien ici n’est une détermination de conformité. Ce rapport vous appartient ; nous en gardons une copie douze mois et ne le partageons avec personne.