makeo.online

Les notes

Notre grille interne : chaque contrôle noté pèse de 1 à 3 selon son importance ; « à améliorer » vaut la moitié des points. Les contrôles relevés sans note, non vérifiés ou non applicables n'entrent pas dans le calcul.

Protections visibles de l'extérieur

Ce qu'un visiteur peut constater sans accès particulier : chiffrement, en-têtes de sécurité, informations exposées. Lecture passive, sans aucun test intrusif.

Un en-tête absent n'est pas, à lui seul, une faille exploitable ; un en-tête présent ne certifie pas la sécurité du site. Ces relevés sont hors de la note globale (repère interne : 75/100).

• Absent — à examinerPolitique de contenu (CSP)· importance moyenne

  Relevé : En-tête Content-Security-Policy absent.

  Portée : Observé : la présence d'un en-tête Content-Security-Policy. Limite : Son contenu n'est pas évalué ; une CSP présente peut être trop permissive, une CSP absente n'est pas une faille exploitable en elle-même.

  La CSP limite ce qu'un script injecté pourrait faire sur vos pages.

  À faire : Définir une Content-Security-Policy adaptée aux ressources du site, d'abord en mode rapport.

• Absent — à examinerProtection contre l'intégration dans un cadre· importance moyenne

  Relevé : Ni X-Frame-Options ni frame-ancestors : le site peut être affiché dans la page d'un tiers.

  Portée : Observé : X-Frame-Options ou la directive frame-ancestors. Limite : Le risque dépend des actions sensibles du site (connexion, paiement) ; un site vitrine y est peu exposé.

  Un site affichable dans la page d'un tiers peut servir à tromper vos visiteurs (clickjacking).

  À faire : Ajouter frame-ancestors 'self' à la CSP, ou X-Frame-Options: SAMEORIGIN.

• Absent — à examinerType de contenu verrouillé· importance mineure

  Relevé : En-tête X-Content-Type-Options absent.

  Portée : Observé : l'en-tête X-Content-Type-Options. Limite : Mesure de précaution ; son absence ne constitue pas une faille à elle seule.

  Empêche le navigateur d'interpréter un fichier autrement que déclaré.

  À faire : Ajouter X-Content-Type-Options: nosniff.

• Absent — à examinerPolitique de référent· importance mineure

  Relevé : En-tête Referrer-Policy absent.

  Portée : Observé : l'en-tête Referrer-Policy. Limite : Les navigateurs récents appliquent déjà une politique par défaut prudente.

  Limite ce que vos pages transmettent aux sites vers lesquels elles renvoient.

  À faire : Ajouter Referrer-Policy: strict-origin-when-cross-origin.

• PrésentRedirection vers HTTPS

  Relevé : http:// renvoie vers https://.

  Portée : Observé : la réponse à une requête http:// sur l'accueil. Limite : Ne couvre que l'accueil ; d'autres adresses peuvent se comporter autrement.

• PrésentHTTPS imposé au navigateur (HSTS)

  Relevé : Strict-Transport-Security : max-age=63072000.

  Portée : Observé : l'en-tête Strict-Transport-Security de l'accueil. Limite : Son absence n'est pas une faille en soi si la redirection HTTPS est en place ; sa présence ne certifie rien d'autre.

• PrésentVersions logicielles exposées

  Relevé : Aucun numéro de version annoncé dans Server ou X-Powered-By.

  Portée : Observé : les en-têtes Server et X-Powered-By. Limite : Masquer une version ne corrige pas une faille ; afficher une version n'en prouve pas une.

Textes et exemples adaptés à votre site

EXEMPLE FICTIF — écrit à la main pour montrer le livrable. Les constats et les textes « avant » sont relevés sur le site ; les propositions sont inventées.

Activité comprise : MAKEO fabrique des sites web, des CRM sur mesure, des applications et des outils d'événements avec ses propres moteurs d'IA (d'après le texte de l'accueil).

1. Priorité 1 · d'abord

   Déclarer l'entreprise en données structurées

   Audit : aucune donnée structurée dans l'accueil.

   À faire : Poser un bloc JSON-LD Organization dans le <head> de l'accueil, avec les seules informations publiques et vérifiées.

   <script type="application/ld+json">
   {"@context":"https://schema.org","@type":"Organization",
    "name":"MAKEO","url":"https://makeo.online",
    "email":"contact@makeo.online"}
   </script>

2. Priorité 1 · d'abord

   Publier un plan du site

   Audit : aucun sitemap lisible ; une seule page a pu être analysée.

   À faire : Générer /sitemap.xml (Next.js : app/sitemap.ts) avec chaque page publique, puis le déclarer dans Google Search Console.

3. Priorité 2 · ensuite

   Soigner l'aperçu des liens partagés

   Audit : og:title, og:description et og:image absents.

   À faire : Ajouter les trois balises Open Graph sur chaque page, avec une image de 1200 × 630 px.

4. Priorité 3 · quand vous aurez le temps

   Déclarer l'adresse canonique

   Audit : aucune balise canonical sur l'accueil.

   À faire : Ajouter <link rel="canonical" href="https://makeo.online/"> sur l'accueil, et l'équivalent sur chaque page.

5. Priorité 3 · quand vous aurez le temps

   Publier un robots.txt

   Audit : robots.txt absent.

   À faire : Publier /robots.txt qui autorise la lecture et donne l'adresse du plan du site.

   User-agent: *
   Allow: /
   Sitemap: https://makeo.online/sitemap.xml

Et maintenant

Ce diagnostic vous appartient : votre prestataire s'en sert tel quel.

Méthode, pages lues et limites