Tout le barème, publié.
Le barème complet, pour que vous puissiez recalculer votre note vous-même. Un score que personne ne comprend n'a aucune valeur.
Le principe
Chaque scan part de 100 points. Chaque constat retire un montant qui dépend de deux choses : sa gravité, et le poids de la famille de contrôles à laquelle il appartient. Le score ne descend jamais sous zéro.
Poids des familles
Les six familles notées se répartissent les 100 points de la manière suivante. L'empreinte technologique n'a pas de poids : elle est purement informative.
30 points
En-têtes de sécurité
Content-Security-Policy analysée directive par directive, HSTS, nosniff, protection contre l'encadrement, Referrer-Policy, Permissions-Policy, en-têtes bavards.
20 points
TLS et certificat
Disponibilité de HTTPS, redirection effective, expiration du certificat, couverture du nom, chaîne complète, versions de protocole acceptées.
20 points
DNS et e-mail
SPF et ses limites de résolution, DMARC et sa politique, DKIM, DNSSEC, CAA, présence de MX.
15 points
Exposition
Chemins publics bien connus : .env, .git, sauvegardes, phpinfo, listage de répertoire, security.txt.
10 points
Cookies
Secure, HttpOnly, SameSite, portée du domaine — avec une attention particulière aux cookies qui ressemblent à une session.
5 points
Contenu de la page
Contenu mixte, liens target="_blank" sans noopener, formulaires en clair, scripts tiers sans SRI, commentaires bavards.
0 points
Empreinte technologique
Les constats « information » ne coûtent rien
Coût d'un constat
Un constat coûte une fraction du poids de sa famille :
| Gravité | Part du poids | Exemple sur les en-têtes (poids 30) |
|---|---|---|
| Élevé | 40 % | 12 points |
| Moyen | 20 % | 6 points |
| Faible | 8 % | 2,4 points |
| Information | 0 % | 0 points |
Deux plafonds
Une famille ne peut pas coûter plus que son poids
Sans ce plafond, un site à qui il manque une douzaine d'en-têtes tomberait à zéro et serait indiscernable d'un site qui publie son dossier .git en clair. Une famille peut vous coûter tout ce qu'elle vaut, jamais plus.
Un même défaut répété coûte moins cher à chaque fois
Dix cookies auxquels il manque SameSite, c'est un réglage à changer, pas dix problèmes. La première occurrence est facturée plein tarif, les suivantes de moins en moins : le multiplicateur est de 1, puis 1,25, puis 1,5, puis 1,75 au maximum. L'ampleur compte — plus de cookies, c'est plus d'exposition — mais pas proportionnellement.
Correspondance note / score
Les six notes sur une règle de 0 à 100 : chaque bande est aussi large que les scores qu'elle couvre.
- F0 à 39
- E40 à 54
- D55 à 69
- C70 à 79
- B80 à 89
- A90 à 100
Une information ne coûte aucun point.
Un constat marqué « information » ne retire aucun point. C'est le cas de l'empreinte technologique, de l'inventaire des cookies, et surtout de tout contrôle qui n'a pas pu conclure — comme DKIM, dont le sélecteur n'est pas devinable de l'extérieur. Nous préférons écrire « non déterminé » plutôt que « absent » : la différence compte, et elle vous évite de chercher un problème qui n'existe pas.
Un exemple complet
Un site sans Content-Security-Policy (élevé, en-têtes) perd 0,4 × 30 = 12 points. S'il lui manque aussi nosniff (moyen) il perd 0,2 × 30 = 6 points de plus, et s'il n'a pas de Referrer-Policy (faible) 0,08 × 30 = 2,4 points. Total : 20,4 points retirés sur les 30 de la famille, soit un score de 79,6 arrondi à 80 — un B, si tout le reste est parfait.