Audit de site web : ce que contient le rapport complet et la consultation de 1 h

Rapport d'audit de sécurité de site web avec liste de vérification et éléments signalés

Notre audit de site web se déroule en consultation d'une heure sur Google Meet avec le représentant de l'entreprise ou les RH et la personne qui gère le site. Dans les jours suivants, sous mandat signé, nous mettons en place le volet Loi 25, puis nous livrons un rapport écrit complet dans les 7 jours ouvrables suivant la consultation. Voici le déroulement, le contenu du rapport et comment décider entre une mise à jour et une refonte.

Pourquoi une consultation plutôt qu'un simple balayage automatique

Les outils automatiques détectent des versions périmées ou des en-têtes manquants, mais ils ne savent pas qui gère le site, quels formulaires collectent des renseignements personnels, ni quel fournisseur héberge quoi. Une consultation réunit deux personnes qui ont chacune une moitié de l'information : celle qui représente l'entreprise ou les ressources humaines (responsabilités, politiques, décisions) et celle qui gère le site (accès, extensions, hébergement). En une heure, on évite des semaines de courriels.

La Loi 25 s'applique à toutes les entreprises privées qui collectent des renseignements personnels, sans exemption pour les PME (source secondaire : RCGT). Votre site est souvent le principal point de collecte : formulaires, prise de rendez-vous, témoins, outils d'analyse. L'audit examine donc la sécurité technique d'abord, puis la couche Loi 25.

Le déroulement de la consultation de 1 h

Étape 1 : sécuriser les accès d'abord

Avant de regarder quoi que ce soit, nous réglons la façon d'accéder au site. Les principes :

des comptes temporaires créés pour l'audit, jamais le compte principal;
le principe du moindre privilège : seulement les droits nécessaires;
authentification multifacteur activée;
aucun mot de passe transmis par courriel;
révocation de tous les accès à la fin de la mission.

Cette étape protège votre entreprise pendant l'audit même. Un prestataire qui demande un mot de passe par courriel crée lui-même le risque qu'il devrait vous aider à éviter.

Étape 2 : l'audit complet

L'examen porte sur les éléments techniques suivants :

Sécurité générale : comptes, rôles, tentatives de connexion, fichiers inhabituels, exposition de renseignements.
Indexation dans Google Search Console : pages indexées, erreurs, contenu qui ne devrait pas être visible.
CMS, plugins et PHP : versions, extensions abandonnées, vulnérabilités connues. Selon Patchstack, 11 334 nouvelles vulnérabilités WordPress ont été recensées en 2025, environ 91 % dans des plugins (source secondaire).
Certificat SSL/TLS : validité, redirections HTTPS, contenu mixte.
En-têtes de sécurité : protections configurées côté serveur.
Sauvegardes : existence, fréquence, emplacement, test de restauration.

Étape 3 : la couche Loi 25, dans les jours suivants

Une fois la base technique examinée, nous mettons en place, dans les jours suivants et sous mandat signé, les éléments liés à la Loi 25 sur le site :

un brouillon de politique de confidentialité, comme bonne pratique accessible sur le site (le contenu exact et l'obligation de la publier font l'objet de sources divergentes : validez avec un avocat);
le bandeau de témoins et le consentement, configurés : les technologies de profilage, de localisation et d'identification doivent être désactivées par défaut, avec opt-in, selon la CAI;
la page du responsable de la protection des renseignements personnels, dont le titre et les coordonnées doivent être publiés sur le site, selon la CAI;
un modèle de registre des incidents de confidentialité, que la CAI exige de tenir et de fournir sur demande.

Nous ne rédigeons pas d'avis juridique. Nous vérifions et documentons ce qui est technique et visible sur le site, et nous vous disons ce qu'il faut faire valider par un avocat.

Une heure, les bonnes personnes, le volet Loi 25 mis en place sous mandat signé, puis un rapport écrit complet. Commandez votre consultation pour auditer votre site.

Réserver ma consultation de 1 h : 1 499 $

Rapport d'audit de sécurité avec graphiques et une loupe sur un élément signalé en rouge

Ce que contient le rapport écrit complet

Dans les 7 jours ouvrables suivant la consultation, vous recevez un rapport écrit complet. Voici sa structure type :

Section	Contenu
Résumé pour la direction	Les constats principaux en langage clair, sans jargon
Accès et comptes	Comptes examinés, rôles, authentification, recommandations
CMS, plugins, PHP	Versions, extensions à mettre à jour, remplacer ou supprimer
SSL et en-têtes	Certificat, redirections, protections serveur
Sauvegardes	Fréquence, emplacement, résultat de test
Indexation GSC	État de l'indexation, anomalies, pages à corriger
Couche Loi 25	Politique, bandeau et consentement, page du responsable, registre
Plan d'action	Corrections classées par priorité, effort et responsable

Chaque constat est expliqué : ce que nous avons observé, pourquoi cela compte, ce qu'il faut faire. Les éléments hors de notre portée (par exemple, une question d'interprétation de la loi) sont signalés comme tels.

Ce que le rapport ne contient pas

Il ne contient ni certificat de conformité, ni avis juridique, ni promesse que votre site est à l'abri d'une attaque. Les obligations de la Loi 25 demeurent celles de l'entreprise. Le rapport est un outil de décision : il vous montre l'état réel de votre site et ce qu'il faudrait corriger.

Quand demander cet audit

Voici les moments où l'audit est le plus utile :

vous n'avez jamais fait vérifier votre site, ou le dernier examen date de plus d'un an;
le site a été construit par un prestataire qui n'est plus joignable;
vous avez ajouté un formulaire, un outil d'analyse ou une boutique en ligne;
vous avez subi un incident, même mineur, ou un comportement étrange du site;
vous devez répondre à un client, un assureur ou un partenaire qui pose des questions sur votre sécurité;
vous voulez savoir par où commencer avec la Loi 25.

Selon l'Insurance Bureau of Canada, rapporté par Insurance Business en octobre 2026, environ 22 % des PME canadiennes détiennent une cyberassurance. Un rapport écrit peut aussi faciliter vos échanges avec un assureur ou un courtier.

Exemple pédagogique : un restaurant à Trois-Rivières

Un restaurant a un site WordPress avec réservation en ligne, créé il y a quatre ans par un pigiste. La propriétaire et le gestionnaire du site (son neveu) participent à la consultation. Après l'étape des accès, l'audit montre trois plugins abandonnés, une version de PHP non supportée, aucune sauvegarde testée et un bandeau de témoins qui laisse un outil publicitaire se charger avant le choix. La couche Loi 25 relève aussi qu'aucune page ne nomme le responsable de la protection des renseignements personnels. Le rapport classe les corrections par priorité. Ce cas est fictif et illustre la démarche.

Mise à jour ou refonte : comment trancher

C'est la décision la plus coûteuse que l'audit éclaire. Voici une grille de lecture :

Situation observée	Orientation habituelle
Site récent, extensions maintenues, quelques retards de mise à jour	Mise à jour et durcissement
Thème ou plugins abandonnés mais remplaçables	Mise à jour avec remplacement ciblé
Thème obsolète, code personnalisé non maintenu, PHP impossible à mettre à niveau	Refonte ou reconstruction à envisager
Site qui ne sert plus l'entreprise sur le plan commercial	Refonte, avec la sécurité intégrée dès la conception

Pourquoi ne pas tout refaire d'emblée

Une refonte coûte du temps et de l'argent, et risque de faire perdre du positionnement dans les moteurs de recherche si elle est mal planifiée. Une mise à jour bien faite règle la majorité des problèmes de sécurité d'un site sain. À l'inverse, empiler des correctifs sur une base abandonnée finit par coûter plus cher qu'une reconstruction. Le rapport vous donne les éléments objectifs pour décider, et la seconde rencontre sert à en discuter.

Si l'audit révèle des problèmes : la seconde rencontre

Lorsque des problèmes sont constatés, nous offrons une deuxième rencontre, sans frais : une discussion libre sur les améliorations. Une refonte ou un redesign fait l'objet d'une soumission distincte. On peut y aborder :

des priorités : ce qui est urgent, ce qui peut attendre;
de la voie retenue : mise à jour, remplacement ciblé ou refonte;
du calendrier et des responsables, côté entreprise et côté technique;
de ce qui doit être validé par un avocat avant de publier.

Si un incident est déjà en cours ou soupçonné, ne l'attendez pas : lisez d'abord notre article Incident de confidentialité : registre et réaction Loi 25, ou appelez le 1 (888) 711-9428.

Ce que cela coûte et ce que cela couvre

La consultation d'une heure, la mise en place du volet Loi 25 sous mandat signé et le rapport écrit complet sont offerts à 1 499 $. La page de vente détaille la portée du mandat. Si le rapport n'est pas livré dans les 7 jours ouvrables suivant la consultation, nous remboursons les 1 499 $ par le même moyen de paiement, dans les 10 jours ouvrables. La seconde rencontre est sans frais; une refonte ou un redesign fait l'objet d'une soumission distincte. Nous corrigeons et documentons les éléments techniques du mandat signé.

Pour situer les risques sans les dramatiser : la CAI peut imposer des sanctions administratives pécuniaires jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, selon le plus élevé, et des amendes pénales jusqu'à 25 M$ ou 4 % existent (source secondaire : Osler). Ce sont des plafonds, non des montants attendus pour une petite entreprise; voyez notre article sur les amendes. Le rapport 2026 d'IBM situe la moyenne canadienne d'une violation de données à 7,11 M$ CA (IBM), une moyenne calculée sur les organisations étudiées par IBM, sans ventilation publiée pour les PME.

Se préparer à la consultation

Pour tirer le maximum d'une heure, préparez :

l'adresse du site et le nom de l'hébergeur;
la liste des outils connectés : courriel, paiement, clavardage, analyse;
le nom de la personne responsable de la protection des renseignements personnels, s'il y en a une;
les accès à créer en séance, en vous assurant que la personne qui gère le site est présente;
vos questions sur la politique, le bandeau et le registre.

Pour avancer en parallèle, utilisez notre checklist Loi 25 en 12 points et lisez notre guide de sécurité WordPress.

À retenir

Une heure sur Google Meet avec le représentant de l'entreprise ou les RH, et la personne qui gère le site.
Accès sécurisés en premier : comptes temporaires, moindre privilège, multifacteur, aucun mot de passe par courriel, révocation à la fin.
Audit complet, puis couche Loi 25, puis rapport écrit complet.
Seconde rencontre si des problèmes sont trouvés : mise à jour ou refonte.
Aucun avis juridique ni garantie de conformité.

Passez de l'incertitude à un rapport écrit clair sur l'état de votre site, après une consultation structurée.

Réserver ma consultation de 1 h : 1 499 $

Questions fréquentes

Qui doit participer à la consultation?

Le représentant de l'entreprise ou une personne des ressources humaines, et la personne qui gère le site web (interne ou prestataire). Les décisions d'affaires et l'accès technique sont ainsi présents dans la même rencontre.

Dois-je envoyer mes mots de passe par courriel?

Non, jamais. Nous passons par des comptes temporaires à privilèges minimaux, avec authentification multifacteur, créés en séance et révoqués à la fin du mandat.

Combien coûte la consultation?

Le service est offert à 1 499 $. Il comprend la consultation de 1 h, la mise en place du volet Loi 25 sous mandat signé et le rapport écrit complet. Consultez la page de vente pour le détail de la portée.

Le rapport garantit-il la conformité à la Loi 25?

Non. Ce service ne constitue pas un avis juridique et ne garantit pas la conformité légale. Nous corrigeons et documentons les éléments techniques du mandat signé.

Et si l'audit révèle de gros problèmes?

Une seconde rencontre, sans frais, permet d'en discuter librement et de planifier les améliorations. Une refonte ou un redesign fait l'objet d'une soumission distincte.