Ce que Sonda vérifie, et comment la note se calcule.

Le principe : une visite, en profondeur

Sonda analyse des sites dont il ne vérifie pas le propriétaire. Il s'en tient donc à ce que ferait n'importe quel visiteur, ou son navigateur, mais il le fait beaucoup plus à fond que de regarder la seule page d'accueil :

• il visite une dizaine de pages du même site, trouvées comme un visiteur (liens internes, sitemap), en respectant les règles de votre robots.txt ;
• il lit les en-têtes, les cookies et le HTML reçus, et les scripts que les pages référencent elles-mêmes ;
• il établit une connexion TLS à fond : protocoles acceptés, chaîne, taille de clé, couverture du nom ;
• il interroge le DNS public (SPF, DMARC, sélecteurs DKIM connus, MTA-STS, DNSSEC, CAA), le registre du domaine (RDAP : expiration, verrou) et les journaux de transparence des certificats (sous-domaines) ;
• il reconnaît votre CMS et, pour WordPress, Drupal, PrestaShop et Joomla, ses extensions, qu'il croise avec des bases publiques de vulnérabilités ;
• il cherche des secrets laissés dans le code public et des signes de piratage (spam injecté, minage), sans jamais republier une valeur sensible.

Tout ce qui ressemble à une recherche de faille reste exclu, même « léger » : deviner des chemins (.env, /admin…), scanner des ports, envoyer des méthodes inhabituelles ou des en-têtes falsifiés. Ces contrôles-là n'existent que dans l'analyse approfondie réservée au propriétaire, après une preuve qu'il contrôle le domaine (voir la page du robot). Ils ne changent jamais la note publique.

Les familles de contrôles

Dix-sept familles, regroupées en quatre thèmes. Toutes passives.

La note

Chaque analyse part de 100 points. Chaque constat retire des points selon le risque réel pour un visiteur ou pour le propriétaire. Un point absent qui ne présente aucun risque réel ne retire rien. Chaque famille a un plafond. La note A exige l'absence de point à corriger : Sonda ne dit jamais « rien à corriger » au-dessus d'un point à corriger. La même configuration donne toujours la même note ; le barème est versionné (2026.11) et chaque rapport indique celui qui l'a produit.

Sur une plateforme hébergée

Sur Wix, Shopify, Squarespace ou Webflow, certains réglages (en-têtes, cookies, version du logiciel, bibliothèques fournies par la plateforme) appartiennent à l'éditeur de la plateforme, pas à vous. Ces points ne font pas baisser votre note et n'apparaissent pas dans « à corriger » : ils sont réunis dans une section « géré par votre plateforme ». Vous gardez la main, et donc la responsabilité, sur le certificat, la redirection, la protection des e-mails de votre domaine, le contenu mixte et les scripts que vous ajoutez vous-même.

Quand un site refuse la visite

Certains hébergeurs placent les robots derrière une page de vérification (403, « Just a moment »). Dans ce cas, Sonda ne note pas une page qui n'est pas la vôtre : les contrôles de contenu passent en « non vérifié », la note est marquée incomplète, et le rapport le dit. Une page de blocage ne donne jamais un A.

Ce qui a été examiné

Comme Sonda borne son travail (une dizaine de pages, un nombre limité de scripts), le rapport dit toujours ce qui a été examiné : combien de pages visitées, combien de scripts lus sur le nombre total. Une couverture partielle est annoncée, jamais passée sous silence.

Le barème, point par point

Retraits en points sur 100. « Info » : signalé mais non compté. Entre parenthèses, le plafond de la famille.

L'aperçu et le rapport complet

Après l'analyse, la page montre tout de suite ce que Sonda a vu : la note, son libellé, les décomptes, et chaque point relevé avec son titre et son résumé (ce qui est à corriger, ce qui peut être amélioré, ce qui est en place, ce qui n'a pas pu être vu). Le rapport complet ajoute la marche à suivre : pourquoi chaque point compte, comment le corriger étape par étape, les détails techniques à transmettre à votre prestataire et la comparaison avec l'analyse précédente. Il est envoyé gratuitement par un lien à l'adresse e-mail que vous indiquez. Ce qu'il ajoute n'est pas envoyé au navigateur avec l'aperçu : il n'y a rien de plus à lire en inspectant la page. Aucun faux contenu, aucune urgence fabriquée, aucun chiffre gonflé : une note A avec rien à corriger reste une note A, et son rapport complet est simplement moins long.

Relancer l'analyse d'un domaine depuis un navigateur déjà déverrouillé pour ce domaine déverrouille le nouveau rapport sans redonner d'adresse : la même personne, le même site. Un autre navigateur, ou un autre domaine, repart de l'aperçu.

La case « être recontacté » est facultative et non cochée. Cocher n'engage à rien : le consentement n'est donné que par un bouton explicite, dans le rapport ouvert depuis le lien du courriel, le texte du consentement affiché à côté. Ouvrir le lien ne vaut pas accord, parce que des logiciels (filtres, aperçus de messagerie) ouvrent les liens sans vous ; presser ce bouton dans ce navigateur, vous seul le pouvez. Une adresse désinscrite ne se réinscrit que par ce même bouton, jamais parce que quelqu'un a recoché la case.

Ce que Sonda ne peut pas voir

Chaque rapport le rappelle : les mots de passe et les comptes, les sauvegardes, le code du site et le serveur, les pages non référencées. Une bonne note signifie que tout ce qu'un visiteur peut vérifier est en place. Elle ne signifie pas que le site est sûr, et aucun outil ne peut l'affirmer de l'extérieur.

Les sources, avec leurs licences

• Bibliothèques JavaScript : référentiel retire.js (Apache 2.0), copie du 6 octobre 2026. Seules les failles exploitables dans un navigateur sont comptées.
• WordPress (cœur) : statuts « stable-check » de api.wordpress.org, relevé du 6 octobre 2026 (version la plus récente : 7.1.3).
• Extensions Drupal, PrestaShop et Joomla : dump OSV Packagist (424 paquets), relevé du 6 octobre 2026 (MIT / CC-BY 4.0 / domaine public selon la source).
• Extensions WordPress : flux Wordfence Intelligence (gratuit pour usage commercial, clé requise). Activé seulement si l'exploitant l'a configuré ; sinon « non vérifié ».
• Expiration et verrou du domaine : RDAP (protocole ouvert de l'IANA, sans clé).
• Sous-domaines : transparence des certificats (crt.sh, ou Cert Spotter si une clé est fournie).
• Réputation : résolveurs filtrants publics Quad9 et Cloudflare (corroboration seulement) ; Google Web Risk si une clé est configurée. PHP : php.net, relevé du 6 octobre 2026.

Pour chaque source, l'usage commercial a été vérifié : Sonda amène des demandes de devis, donc n'emploie que des données dont la licence l'autorise. Une source absente ou en panne produit un « non vérifié » honnête, jamais un faux « tout va bien ». Les référentiels copiés sont datés et mis à jour par script.