Aller au contenu
VDHome
Demander un devis

Que voit un visiteur de votre site web ?

Tout visiteur peut voir, avec les outils de développement de son navigateur (F12), quels cookies votre site dépose, ce qu'il récupère chez d'autres et comment votre domaine protège votre e-mail. Voici comment le vérifier vous-même en cinq minutes, sans rien installer.

Vous avez reçu un e-mail de ma part ? Il mentionnait un point que j'ai vu en simple visiteur. Vous trouverez ici la liste complète, avec les étapes pour le vérifier vous-même : vous n'avez pas à me croire sur parole.

Essayez d'abord les étapes dans le navigateur sur www.vdhome.be : voilà à quoi cela ressemble quand tout est en ordre. Ensuite sur votre propre site.

Étapes vérifiées le 16 octobre 2026.

D'abord : ouvrir les outils de développement

  • Ouvrez votre site dans une fenêtre de navigation privée et ne cliquez encore sur rien, pas même sur la bannière cookies.
  • Chrome et Edge : appuyez sur F12 ou Ctrl+Maj+I (sur Mac : Cmd+Option+I).
  • Firefox : appuyez sur F12 ou Ctrl+Maj+I (sur Mac : Cmd+Option+I).
  • Safari : activez d'abord les fonctionnalités pour les développeurs web dans Safari > Réglages > Avancés. Ensuite : Développement > Afficher l'inspecteur web, ou Cmd+Option+I.

1. Des cookies avant le consentement

Regardez sur la page d'accueil, avant de répondre à la bannière cookies.

Chrome et Edge

  1. Choisissez l'onglet Application.
  2. À gauche, sous Storage, ouvrez Cookies > votre domaine. Local storage, Session storage et IndexedDB y figurent aussi.

Firefox

  1. Choisissez l'onglet Stockage (Storage).
  2. Ouvrez Cookies > votre domaine. Le même onglet montre aussi Local Storage, Session Storage et Indexed DB.

Safari

  1. Choisissez l'onglet Stockage (Storage).
  2. Ouvrez Cookies pour votre domaine. Le même onglet montre aussi Local Storage et Session Storage.

Ce que vous devez voir: Uniquement les cookies dont le site a réellement besoin pour fonctionner. Des noms comme _ga, _gid, _gcl_au, _fbp ou hubspotutk sont des cookies d'analyse ou de marketing : ils ne devraient apparaître qu'après que le visiteur les a acceptés.

Pourquoi c'est important: Selon l'Autorité de protection des données, les cookies non nécessaires requièrent le consentement préalable du visiteur.

L'Autorité de protection des données sur les cookies

2. Du contenu d'autres parties

Laissez les outils de développement ouverts et rechargez la page, pour que chaque requête apparaisse dans la liste. Ci-dessous, remplacez votredomaine.be par le domaine dans votre barre d'adresse.

Chrome et Edge

  1. Choisissez l'onglet Network (Réseau) et rechargez la page (Ctrl+R, sur Mac Cmd+R).
  2. Tapez dans le champ de filtre : -domain:votredomaine.be

Firefox

  1. Choisissez l'onglet Réseau et rechargez la page.
  2. Tapez dans le champ Filtrer les URL : -domain:votredomaine.be

Safari

  1. Choisissez l'onglet Réseau (Network) et rechargez la page.
  2. Safari ne connaît pas ce filtre : affichez la colonne Domaine (clic droit sur un titre de colonne) et triez dessus.

Ce que vous devez voir: Une liste vide, ou uniquement des parties auxquelles le visiteur a déjà donné son consentement. On voit souvent fonts.googleapis.com (polices), maps.googleapis.com (une carte), www.google.com/recaptcha ou youtube.com : chaque fois, l'adresse IP du visiteur part vers cette partie.

Pourquoi c'est important: Une adresse IP est une donnée personnelle. Vous pouvez placer les polices sur votre propre serveur ; une carte ou une vidéo peut ne se charger qu'après un clic.

3. Une politique de confidentialité et de cookies

Vous n'avez pas besoin des outils de développement pour cela.

Dans tout navigateur

  1. Cherchez en bas de la page d'accueil un lien comme Vie privée, Déclaration de confidentialité ou Politique de cookies.

Ce que vous devez voir: Un lien sur chaque page, vers un texte qui dit quelles données vous traitez, pourquoi, combien de temps et à qui le visiteur peut s'adresser.

Pourquoi c'est important: Qui collecte des données personnelles, par exemple via un formulaire de contact, doit l'expliquer au préalable (RGPD, article 13).

4. Toujours une connexion sécurisée

Laissez l'onglet Réseau ouvert.

Dans tout navigateur

  1. Tapez dans la barre d'adresse http://votredomaine.be (sans s).
  2. Dans Réseau, choisissez la première requête vers https:// et regardez les en-têtes de réponse.

Ce que vous devez voir: Vous arrivez automatiquement sur https://, et les en-têtes contiennent Strict-Transport-Security.

Pourquoi c'est important: Sans redirection, un visiteur peut rester sur une connexion non sécurisée ; HSTS indique au navigateur d'ouvrir désormais toujours votre site en https.

5. Un point de contact pour les problèmes de sécurité

Ici non plus, vous n'avez pas besoin des outils de développement.

Dans tout navigateur

  1. Ouvrez https://votredomaine.be/.well-known/security.txt.

Ce que vous devez voir: Un court fichier texte avec une ligne Contact: et une date Expires:.

Pourquoi c'est important: Qui trouve une faille sur votre site sait alors à qui la signaler. C'est une norme internationale (RFC 9116).

RFC 9116

6. Votre domaine e-mail : SPF et DMARC

Cela ne se fait pas dans le navigateur mais avec une seule requête DNS. Tapez les deux lignes l'une après l'autre.

Windows (Invite de commandes)

  1. nslookup -type=TXT _dmarc.votredomaine.be
  2. nslookup -type=TXT votredomaine.be

Mac et Linux (Terminal)

  1. dig +short TXT _dmarc.votredomaine.be
  2. dig +short TXT votredomaine.be

Ce que vous devez voir: Pour _dmarc, une ligne qui commence par v=DMARC1 et contient p=quarantine ou p=reject. p=none signifie : simplement observer. Pour le domaine lui-même, une ligne v=spf1 ... qui se termine par -all ou ~all.

Pourquoi c'est important: Sans DMARC, quelqu'un d'autre peut envoyer des e-mails qui semblent venir de votre domaine, par exemple une fausse facture à vos clients, sans que vous le remarquiez. Utilisez le domaine de votre adresse e-mail, même si votre site web a un autre domaine.

Comment un domaine sans DMARC est-il détourné ?

Pourquoi c'est possible

L'e-mail a été conçu sans contrôle de l'expéditeur. La ligne « De : info@votredomaine.be » que voit le destinataire est un simple texte que le serveur d'envoi remplit lui-même, comme l'adresse de l'expéditeur au dos d'une enveloppe.

Ce que font SPF, DKIM et DMARC

  • SPF indique quels serveurs peuvent envoyer pour votre domaine, mais il contrôle une adresse d'expéditeur technique cachée, pas la ligne « De » visible.
  • DKIM appose une signature numérique sur le message, mais n'importe quel domaine peut signer, y compris celui du fraudeur.
  • Seul DMARC exige que le domaine de la ligne « De » visible corresponde à un domaine qui a réussi SPF ou DKIM. Il indique au destinataire ce qu'il doit faire sinon : livrer quand même (p=none), mettre en spam (p=quarantine) ou refuser (p=reject), et il vous envoie des rapports sur qui envoie en votre nom.

Comment c'est détourné en pratique

  • Fausses factures : un message qui semble venir de votre comptabilité et annonce que votre numéro de compte a changé.
  • Hameçonnage de vos clients et fournisseurs : un lien vers une fausse page de connexion, sous votre nom.
  • Atteinte à votre réputation : votre domaine se retrouve sur des listes de spam, et vos vrais messages arrivent plus souvent dans les indésirables.
  • Vous ne remarquez rien : sans rapports DMARC, vous ne voyez pas qui envoie en votre nom.

Quelle est l'ampleur du risque ?

Les grands fournisseurs comme Gmail et Microsoft 365 mettent souvent les messages non vérifiés dans les indésirables, mais pas toujours. Les petits serveurs de messagerie contrôlent souvent moins. p=none protège aussi peu qu'une absence de DMARC : c'est une bonne première étape pour savoir qui envoie en votre nom, pas le point final.

Ce que DMARC ne résout pas

Les domaines qui ressemblent au vôtre (un l au lieu d'un i, ou une autre extension) et une boîte mail piratée. Un domaine qui n'envoie jamais de courrier se protège avec v=spf1 -all et DMARC p=reject.

Aller plus loin, gratuitement

Test NIS2

Votre entreprise relève-t-elle de NIS2 ? Une dizaine de questions, avec l'article de loi à chaque étape.

Commencer le test NIS2

Analyse gratuite

Où sont vos données ? Dix questions, un rapport immédiat.

Commencer l'analyse

Self-check du consentement cookies

Votre refus des cookies fonctionne-t-il vraiment ? Je charge votre site dans un vrai navigateur ; je vérifie d'abord une adresse e-mail sur votre domaine.

Le demander pour votre domaine

Le test NIS2 et l'analyse calculent entièrement dans votre navigateur : rien n'est envoyé.

Vous préférez que je regarde avec vous ?

C'est le Trust Report : un aperçu écrit de ce qu'un visiteur et un serveur de messagerie voient de votre organisation, avec les preuves et ce que vous pouvez y faire.

Prix fixe EUR 250, livraison en 5 jours ouvrables ; prix de lancement EUR 150 pour toute commande jusqu'au 31/12/2026 inclus ; la livraison peut tomber en 2027.

Voir le Trust Report Voir un exemple de rapport (PDF en néerlandais, cabinet fictif)

Cette page n'est pas un avis juridique. Un site web dit peu de choses sur le niveau de sécurité de votre organisation ; NIS2 va bien au-delà.