Comment chaque note est calculée

Six en-têtes de réponse HTTP sont vérifiés, chacun pondéré, plus l'absence de contenu mixte HTTP sur une page HTTPS :

X-XSS-Protection est volontairement exclu : header déprécié, retiré des navigateurs modernes.

Note = score obtenu / score maximum possible : A+ 100% · A ≥80% · B ≥60% · C ≥40% · D ≥20% · F <20%.

Barème A+ à F, calculé sur les en-têtes et pondérations ci-dessus.

D'autres constats de sécurité sont listés à part sans entrer dans ce score pondéré : expiration du certificat TLS, protocole TLS négocié, en-tête Server exposant une version logicielle, cookies sans Secure/HttpOnly/SameSite, absence de redirection HTTP→HTTPS, en-têtes COOP/COEP/CORP (volontairement non pénalisants — tous les sites n'en ont pas besoin).

Aucun appel réseau tiers : tout provient de la réponse HTTP déjà chargée et d'une connexion TLS directe à votre site.

Catégorie distincte de "Sécurité" : deux vérifications qui ne se déduisent pas du protocole simplement observé lors d'une navigation normale.

Support de versions TLS dépréciées — une connexion est tentée en forçant explicitement TLS 1.0/1.1 (pas seulement observer ce que négocie un navigateur moderne par défaut). Si elle réussit, le serveur accepte encore ces versions d'un client qui les demanderait spécifiquement — signalé "important".

Forward secrecy du chiffrement négocié — le nom du chiffrement utilisé lors de la connexion est examiné pour vérifier la présence d'un échange de clé éphémère (ECDHE/DHE). Sans lui, une future compromission de la clé privée du serveur permettrait de déchiffrer rétroactivement du trafic déjà capturé — signalé "à surveiller" si absent.

Connexions TLS directes à votre site, aucun appel réseau tiers.

Vérifie, par interrogation DNS directe du domaine racine de votre site (pas une adresse email précise), les trois mécanismes qui protègent contre l'usurpation de votre nom de domaine dans des emails frauduleux :

• SPF — enregistrement DNS TXT sur le domaine racine, emplacement fixe : son absence est un constat conclusif, signalé "important".
• DMARC — enregistrement DNS TXT sur _dmarc.votredomaine, emplacement fixe également conclusif ; une politique "none" (surveillance seule, aucune protection réelle) est signalée "à surveiller" plutôt que "ok".
• DKIM — recherché uniquement sur une liste de sélecteurs courants (ceux de Google Workspace, Microsoft 365, principaux outils d'emailing), faute de pouvoir connaître le sélecteur réellement configuré. Une absence sur ces sélecteurs ne prouve donc jamais l'absence de DKIM — toujours signalé "à surveiller", jamais "important".

Calculé avec le Sustainable Web Design Model v4 (Green Web Foundation), bibliothèque officielle — coefficients à jour.

Le poids de page utilisé est celui réellement mesuré pendant l'audit (aucun recalcul, aucun appel réseau supplémentaire pour cette partie). Seule la vérification de l'hébergement vert interroge l'API publique de la Green Web Foundation, avec un délai maximum de 3 secondes ; en cas d'échec, l'hypothèse retenue est pessimiste (site non vérifié vert), jamais l'inverse.

La note A+ à F est calculée directement à partir du modèle SWD v4.

L'équivalence "en km de voiture" affichée sur les résultats s'appuie sur 142 g CO2e/km (émission moyenne d'une voiture thermique en France, cycle de vie complet, source ADEME/impactco2.fr, modélisation 2025).

Une vingtaine de critères mesurés directement sur votre page réelle (jamais une estimation) — chaque dépassement de seuil ajoute une pénalité (1 point en "à surveiller", 3 points en "important") :

• Poids de page : important > 6000 Ko, à surveiller > 3000 Ko
• Requêtes HTTP : important > 150, à surveiller > 80
• Requêtes tierces : important > 20, à surveiller > 8
• Réponses 404 : important > 5
• Réponses vides : important > 10
• Cache non spécifié/désactivé : important > 15 ressources ; cache < 1h également signalé
• Absence de connexions persistantes (keep-alive) : important > 15
• Protocole HTTP/1.x détecté
• Images ni WebP ni AVIF : important > 10
• Images surdimensionnées (ratio affiché/réel > 1,5) : important > 5
• Images masquées mais chargées : important > 5
• JavaScript non exécuté, mesuré via l'API Coverage réelle de Chromium (pas une estimation statique) : important > 60%, à surveiller > 30%
• CSS non appliqué, même méthode : important > 60%, à surveiller > 30%
• Compression HTTP manquante sur du texte > 1 Ko : important > 5
• Scripts bloquant le rendu (dans <head> sans async/defer) : important > 3
• Temps de chargement > 3 secondes

La validité HTML est vérifiée avec le Nu Html Checker du W3C — le même moteur que derrière validator.w3.org, exécuté localement : aucun appel réseau vers w3.org, votre page n'est jamais transmise à un tiers pour cette vérification.

• Complexité du DOM : important > 3000 éléments, à surveiller > 1500 ; profondeur max important > 20, à surveiller > 12
• Identifiants HTML dupliqués : important > 5
• Couleurs distinctes utilisées : important > 40, à surveiller > 20
• Erreurs console JavaScript : important > 5
• jQuery obsolète (version majeure < 3, ou 3.x < 3.6)
• Plusieurs copies de jQuery chargées simultanément : important > 2

Sur les règles @media du CSS chargé, chaque condition est examinée pour repérer si elle est écrite en mobile-first (min-width, on part du petit écran et on enrichit) ou desktop-first (max-width, on part du grand écran et on retire).

Aucune règle min-width détectée : important. Majorité de max-width : à surveiller. Majorité de min-width : ok.

Non applicable (catégorie absente du résultat) si le site ne contient aucune règle @media — déjà signalé dans la catégorie Qualité du code.

• Nombre de polices web chargées : signalé au-delà de 6
• Formats utilisés : signalé si un format autre que WOFF2 est présent (le plus compact des formats web actuels)

• Balise <title> absente ou vide (important) ; longueur hors 10–65 caractères (à surveiller)
• Meta description absente
• Nombre de <h1> différent de 1
• Ordre des titres incohérent (saut de niveau, titre avant le premier h1)
• Balise canonique absente
• Attribut de langue HTML absent
• Favicon absent
• Meta robots : important si "noindex" présent, à surveiller si "nofollow" — l'absence de balise est normale et n'est jamais pénalisée

Vérification des balises Open Graph (og:title, og:description, og:image) et Twitter Card, y compris les dimensions réelles de l'image de partage (seul appel réseau de cette catégorie, vers l'URL de l'image elle-même) : og:title hors 10–95 caractères, og:description hors 50–200, og:image < 200×200px signalés à surveiller ; og:image inaccessible signalé important.

Moteur axe-core (Deque Systems) — le standard de l'industrie, utilisé aussi par Lighthouse, WAVE et Chrome DevTools. Analyse sur les référentiels WCAG 2.0/2.1/2.2 (A et AA) et WCAG 2.2 AAA, plus les bonnes pratiques, avec la locale française officielle d'axe-core.

Les correspondances RGAA affichées viennent directement des tags RGAA-* natifs fournis par axe-core (environ 65% des règles couvertes) — jamais un mapping construit ou deviné par nos soins.

Un audit automatisé, même complet, ne remplace jamais un audit RGAA humain — c'est un point de départ, pas une attestation de conformité.

Constats strictement factuels : cookies de traçage déposés avant tout consentement, présence d'un outil de gestion du consentement reconnu, traceurs connus contactés (Google Analytics, GTM, Meta Pixel, Hotjar, Clarity, LinkedIn Insight, TikTok Pixel, HubSpot...), lien vers une politique de confidentialité.

Jamais un verdict de conformité juridique — seulement ce qui a été techniquement observé sur votre site.