Auditer un site web avant une intrusion coute 5 fois moins cher que le nettoyer apres. Pourtant la majorite des PME marocaines ne font un audit de securite que quand il est deja trop tard, apres une alerte CNDP ou une suspension Google. Ce guide explique comment mener un audit de securite site web au Maroc en 2026: checklist en 15 points que vous pouvez auto-verifier en 2 heures, methode complete Eurastech pour les sites critiques, fourchettes de prix reelles en MAD, et outils gratuits pour une premiere evaluation. Il s adresse aux DG, DSI, responsables e-commerce et agences qui veulent securiser un PrestaShop, Laravel ou WordPress avant que le probleme ne survienne.
Qu est-ce qu un audit de securite site web
Un audit de securite site web evalue les risques techniques, organisationnels et de conformite d une application web en production. Il va au-dela d un scan automatise: il combine tests outillers, analyse manuelle du code et de la configuration, et verification des processus d exploitation.
Un audit serieux couvre 5 dimensions:
- Infrastructure: version du serveur, OS, TLS, firewall, WAF, isolation.
- Applicative: version CMS et frameworks, plugins et modules, patchs de securite, configuration.
- Donnees: chiffrement, sauvegardes, acces, traces, conformite CNDP.
- Authentification: mots de passe, 2FA, sessions, controles d acces, comptes dormants.
- Operationnelle: processus de mise a jour, plan de reponse a incident, monitoring.
Definition rapide: un test d intrusion (pentest) est un sous-ensemble de l audit qui simule une attaque. Un audit complet inclut le pentest plus la revue documentaire et processus.
Quand faire un audit de securite
Plusieurs moments dans la vie d un site justifient un audit.
- Annuel systematique pour les sites traitant des donnees clients (e-commerce, SaaS, portails B2B).
- Avant une nouvelle mise en production majeure ou une refonte.
- Apres un incident (intrusion averee ou suspectee) pour verifier le perimetre du probleme.
- Avant un audit de certification (ISO 27001, PCI DSS, HDS, audit client enterprise).
- Avant un appel d offres B2B qui exige une attestation de securite.
- Apres le depart d une equipe technique qui avait les acces administrateur.
- Apres une notification CNDP ou la reception d un email signalant une activite suspecte.
Checklist 15 points a verifier sur un audit rapide
Vous pouvez effectuer ces 15 controles en 2 a 3 heures sur un site PrestaShop, Laravel ou WordPress. C est une premiere evaluation, pas un audit complet.
- Version du CMS et des frameworks: PrestaShop, WordPress, Laravel, Symfony. Version obsolete = risque eleve.
- Plugins et modules tiers: lister tous, identifier ceux non maintenus depuis plus de 12 mois, verifier les CVE ouvertes.
- HTTPS actif sur toutes les pages, redirection HTTP vers HTTPS, certificat valide (pas expire, pas auto-signe).
- Headers de securite presents: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Content-Security-Policy.
- Mots de passe administrateur: 2FA actif ou non, politique de complexite, comptes dormants.
- Backups: frequence, stockage chiffre hors site, test de restauration recent.
- Journaux (logs) web server conserves 30 jours minimum, logs applicatifs actifs.
- Monitoring actif: alertes sur pics d erreurs, tentatives de connexion echouees, consommation serveur anormale.
- Fichiers de configuration sensibles (.env, wp-config.php, parameters.yml) non accessibles en direct depuis le web.
- Formulaires proteges contre l injection (prepared statements, validation, rate-limiting).
- Upload de fichiers filtre (types, taille, scan), stockage hors du dossier web.
- API et endpoints authentifies, rate-limites, documentes.
- Comptes base de donnees avec privileges minimaux, pas de connexion root applicative.
- Droits fichiers systeme corrects (755 dossiers, 644 fichiers, jamais 777).
- Plan de reponse a incident documente, contacts a jour, procedures CNDP prevues.
Si 3 ou plus de ces 15 points sont a risque, un audit approfondi s impose.
Besoin d un audit professionnel ? Demandez un audit Eurastech. Livrable sous 2 semaines, methode formalisee, conformite CNDP incluse.
Methode Eurastech pour un audit complet
Notre protocole d audit pour une PME marocaine se deroule en 4 phases sur 2 a 4 semaines selon la taille du perimetre.
Phase 1 - Collecte et reconnaissance (3 a 5 jours)
Acces en lecture au code (Git ou archive), acces hebergement, acces back-office, documentation existante. Scan automatise non intrusif depuis Internet pour reconnaissance externe.
Phase 2 - Analyse applicative et infrastructure (5 a 10 jours)
Revue du code des zones sensibles (authentification, paiement, upload, API), analyse de configuration, scan de vulnerabilites outille, tests d intrusion cibles sur les endpoints critiques. Verification de la conformite CNDP.
Phase 3 - Redaction et priorisation (2 a 5 jours)
Redaction du rapport avec 3 listes priorisees: vulnerabilites critiques a corriger immediatement, risques moyens a traiter sous 1 a 3 mois, recommandations long terme. Plan de remediation chiffre.
Phase 4 - Restitution et plan d action (1 session)
Restitution en 90 minutes avec le DSI, le responsable technique et le sponsor business. Validation du plan de remediation. Facultatif: accompagnement sur la remediation ou basculement en maintenance continue avec volet securite engage.
Combien coute un audit de securite au Maroc
Fourchettes 2026 pour une PME marocaine.
| Profil site | Complexite | Duree audit | Budget |
|---|---|---|---|
| Site vitrine WordPress | Simple | 1 a 2 semaines | 15 a 40k MAD |
| E-commerce PrestaShop | Moyen | 2 a 3 semaines | 40 a 120k MAD |
| Application Laravel ou SaaS B2B | Complexe | 3 a 4 semaines | 80 a 250k MAD |
| Plateforme critique (donnees sensibles, multi-site) | Tres complexe | 4 a 6 semaines | 200 a 500k MAD |
Ce qui est inclus: audit technique, rapport ecrit, plan de remediation chiffre, restitution.
Ce qui n est pas inclus: la remediation elle-meme (execution des correctifs). Elle se chiffre separement selon les findings, typiquement 30 a 70 % du cout de l audit pour un site sans probleme majeur, jusqu a 2 a 3 fois le cout de l audit pour un site tres degrade.
Audit annuel recurrent: pour les sites critiques, un audit leger chaque annee plus un audit complet tous les 3 ans est le ratio generalement observe chez les PME matures sur la securite.
Outils gratuits pour verifier soi-meme un site web
Premiere evaluation possible avec des outils en ligne gratuits.
- Mozilla Observatory (observatory.mozilla.org): analyse headers de securite, donne une note de A+ a F.
- SSL Labs Server Test (ssllabs.com/ssltest): verifie la qualite du TLS et du certificat.
- Google Safe Browsing Status (transparencyreport.google.com/safe-browsing): verifie si votre site est flagge par Google.
- WPScan (wpscan.com) pour les sites WordPress: identifie plugins vulnerables.
- Google Search Console: alerte si un probleme de securite est detecte.
- Mots de passe testes dans haveibeenpwned.com pour voir s ils ont fuit dans une breche publique.
- Crawler gratuit pour detecter pages orphelines ou contenus suspects (Screaming Frog gratuit jusqu a 500 URLs).
Ces outils detectent les problemes de surface. Ils ne remplacent pas un audit approfondi incluant l analyse de code et la revue de configuration, mais ils donnent une bonne premiere photo en 30 minutes.
FAQ
Combien de temps dure un audit de securite ?
Entre 1 et 6 semaines selon la taille et la complexite du perimetre. Un audit rapide sur site vitrine tient en 1 a 2 semaines, un audit complet sur plateforme SaaS B2B peut monter a 4 a 6 semaines avec analyse de code et tests d intrusion.
L audit casse-t-il le site en production ?
Non. Nos audits sont non intrusifs sur le site en production. Les tests d intrusion actifs sont menes sur une copie ou une instance staging dediee. Aucune indisponibilite n est causee par l audit lui-meme.
Doit-on refaire un audit apres les corrections ?
Oui, pour les vulnerabilites critiques. Nous verifions que la remediation est effective et que de nouvelles failles n ont pas ete introduites. Compter 20 a 40 % du cout de l audit initial pour une revalidation ciblee.
Que faire si l audit revele une intrusion en cours ?
L audit bascule en intervention d urgence. Priorite: isoler, preserver les preuves forensiques, nettoyer, securiser. Voir notre guide site pirate: reparer et securiser.
L audit couvre-t-il la conformite CNDP ?
Oui, systematiquement quand le site traite des donnees personnelles. Nous verifions la legalite des traitements, les droits des personnes, la securite des donnees, la documentation disponible pour un controle CNDP.
Faut-il etre certifie ISO 27001 au Maroc ?
Pas obligatoire pour la plupart des PME. Devient utile quand vos clients entreprise (B2B grand compte, donneurs d ordre internationaux) l exigent. Un audit Eurastech prepare souvent bien le terrain pour une certification ulterieure.
Pouvez-vous auditer un site que nous n avons pas developpe ?
Oui, c est le cas le plus frequent. Nous n avons pas besoin que vous nous ayez fourni le developpement initial pour realiser un audit. L acces au code source et a l hebergement suffit.
Votre site web merite-t-il un audit de securite ? Eurastech realise des audits de securite pour PME et ETI au Maroc. Methode formalisee, livrable chiffre, conformite CNDP, accompagnement remediation possible. Demander un audit ou lire le guide site pirate.