Cherchez “liste de maintenance web” et vous obtenez la même liste à chaque fois. Mettez à jour vos plugins. Vérifiez les liens cassés. Faites une sauvegarde. Renouvelez votre domaine. Ce n’est pas faux. C’est juste la partie que tout le monde connaît déjà, et elle saute les contrôles qui repèrent vraiment les problèmes avant qu’ils ne vous coûtent un client.
Voici une liste différente. C’est celle que nous appliquons à un site, regroupée comme la lance notre propre Bilan de Santé du Site. Chaque point indique ce que c’est, pourquoi ça compte, et comment le vérifier vous-même gratuitement.
Une chose à poser d’emblée, car elle garde toute la liste honnête : ces contrôles lisent votre page d’accueil publique et vos enregistrements DNS publics. Ils ne se connectent à rien, n’explorent pas toutes les pages, et ne détecteront pas une page déjà piratée en coulisses. Cette liste vous dit si la porte d’entrée et les serrures sont solides. Elle ne peut pas vous dire si quelqu’un est déjà à l’intérieur.
La liste a deux moitiés : sécurité et confiance, puis vitesse et qualité.
Partie 1 : Sécurité et confiance
Neuf contrôles. Les deux premiers confirment que le site et sa messagerie existent seulement. Les cinq du milieu portent sur la confiance, surtout l’e-mail, là où les petites entreprises perdent le plus en silence. Les deux derniers portent sur le fait d’être joignable.
1. Le site est-il vraiment en ligne ?
Le contrôle le plus élémentaire : le domaine pointe-t-il vers un serveur ? Un seul enregistrement DNS expiré, et le site disparaît, sans aucune erreur pour vous prévenir. Chargez votre page d’accueil dans une fenêtre privée. Si elle ne s’affiche pas, rien d’autre sur cette liste ne compte encore.
2. Le domaine peut-il recevoir des e-mails ?
Un domaine a besoin d’un enregistrement MX pour accepter le courrier. Les entreprises le perdent en changeant de fournisseur de messagerie quand un enregistrement saute. Soudain, chaque réponse à votre adresse rebondit, et vous l’apprenez par un client mécontent. Si vous utilisez l’e-mail sur votre domaine, confirmez qu’il peut encore recevoir.
3. SPF : qui a le droit d’envoyer en votre nom
SPF liste quels serveurs peuvent envoyer du courrier avec votre domaine. Deux choses le cassent. Soit il n’y a pas d’enregistrement, soit, plus sournoisement, il y en a deux. Les serveurs destinataires rejettent entièrement les enregistrements SPF en double, donc “on a du SPF” peut être faux à votre insu. Vérifiez que vous avez exactement un enregistrement et qu’il nomme chaque service depuis lequel vous envoyez vraiment. Notre vérificateur SPF gratuit vous le montre.
4. DMARC : que se passe-t-il quand un message échoue
DMARC dit aux serveurs destinataires quoi faire du courrier qui échoue à vos contrôles : rien (p=none), l’envoyer au spam (quarantine) ou le rejeter (reject). En décembre 2025, 83,9 % des domaines n’avaient aucun enregistrement DMARC. Deux détails que la plupart des vérificateurs manquent : une politique de sous-domaine à sp=none laisse vos sous-domaines usurpables, et une adresse rua qui ne pointe nulle part fait disparaître vos rapports d’échec. Le vérificateur DMARC gratuit lit tout.
5. DKIM : vos expéditeurs signent-ils vraiment ?
DKIM est la signature qui prouve qu’un e-mail vient vraiment de vous. SPF dit qui a le droit d’envoyer. DKIM prouve qu’il l’a fait. L’écart est fréquent : un service est autorisé dans SPF mais ne signe pas vraiment, donc son courrier est plus faible que vous ne le pensez. Un vrai contrôle teste les signatures par défaut des services que vous utilisez, comme Google Workspace, Microsoft 365, SendGrid, Mailchimp et Resend, et confirme qu’elles sont actives.
6. CAA : qui peut émettre des certificats pour votre domaine
Un enregistrement CAA limite quelles autorités de certification peuvent émettre un certificat SSL pour votre domaine. Sans lui, n’importe laquelle le peut, ce qui élargit la porte à un certificat mal émis. C’est un petit enregistrement que la plupart des sites ne configurent jamais, et le configurer est une amélioration de sécurité discrète.
7. SSL : le certificat est-il vraiment valide ?
“A un cadenas” n’est pas la même chose que “valide”. Un certificat peut être expiré, couvrir le mauvais nom d’hôte ou avoir une chaîne rompue, et chacun de ces cas déclenche l’avertissement plein écran “votre connexion n’est pas privée” qui renvoie les visiteurs vers la recherche. Un vrai contrôle confirme que le certificat est valide dans un navigateur, nom d’hôte et chaîne compris, et combien de jours il lui reste avant l’expiration. Lancez le vérificateur SSL gratuit.
8. Viewport mobile : le téléphone sait-il comment afficher la page ?
Une petite balise, la balise meta viewport, indique au téléphone comment disposer votre page. Sans elle, les visiteurs mobiles voient une mise en page bureau minuscule et dézoomée qu’ils doivent agrandir pour lire. La plupart abandonnent. C’est une correction d’une ligne, facile à perdre dans une refonte.
9. robots.txt et accès IA : les robots peuvent-ils vous atteindre ?
Votre fichier robots.txt contrôle qui a le droit de lire votre site. Vérifiez qu’il existe, que Googlebot et Bingbot peuvent atteindre votre page d’accueil, et, de plus en plus important, que les robots d’IA ne sont pas bloqués. Quand quelqu’un demande à ChatGPT ou Perplexity une entreprise comme la vôtre, l’IA doit d’abord pouvoir entrer. Notre vérificateur de robots d’IA en teste sept à la fois, dont GPTBot, ClaudeBot, PerplexityBot et Google-Extended, et le vérificateur de robots.txt couvre les robots de recherche.
Partie 2 : Vitesse et qualité
La seconde moitié porte sur l’expérience une fois qu’un visiteur arrive. Celles-ci viennent de PageSpeed Insights de Google, lancé sur mobile, et vous pouvez les obtenir avec notre test de vitesse gratuit.
Il y a quatre scores sur 100 :
- Vitesse (Performance) : à quelle vitesse la page se charge vraiment sur un téléphone milieu de gamme.
- Accessibilité : si les personnes utilisant un lecteur d’écran ou la navigation au clavier peuvent utiliser la page.
- Bien construite (Bonnes pratiques) : si la page suit les règles modernes que les navigateurs attendent.
- Bases du référencement (SEO) : si les fondamentaux recherchés par les moteurs de recherche sont en place.
Sous les scores, trois chiffres vous disent comment le chargement se ressent vraiment :
- LCP (Largest Contentful Paint) : le temps avant que le contenu principal apparaisse.
- CLS (Cumulative Layout Shift) : à quel point la page saute pendant le chargement.
- TBT (Total Blocking Time) : combien de temps la page est figée et ne répond pas aux touchers.
Puis les alertes d’utilisabilité mobile, celles qui vous coûtent des ventes en silence sur un téléphone : des boutons placés trop près, du texte plus petit que 12px, et du contenu qui déborde de l’écran et oblige à défiler latéralement.
Les limites honnêtes, encore
Ça vaut la peine de le répéter, car c’est la différence entre une liste utile et un faux sentiment de sécurité. Tout ce qui précède lit votre page d’accueil publique et vos enregistrements DNS publics. Cela ne se connectera pas à votre site, n’explorera pas toutes les pages, ni ne détectera une page déjà compromise. Traitez un résultat propre comme “la porte d’entrée est solide”, pas comme “rien ne va nulle part”.
Quelques éléments restent aussi hors de ce contrôle central à dessein, et ont leurs propres outils gratuits si vous les voulez : vos redirections, vos en-têtes de sécurité et vos balises d’aperçu social. Utiles, mais séparés du bilan de santé ci-dessus.
À quelle fréquence lancer chaque contrôle
La maintenance n’est pas un événement annuel, car les éléments de cette liste tombent en panne selon leur propre calendrier :
- Certificat et DNS : chaque mois. Les certificats expirent à une date fixe, et un changement de fournisseur peut faire sauter un enregistrement à tout moment.
- E-mail (SPF, DKIM, DMARC) : après tout changement de votre messagerie ou de vos outils d’envoi, et chaque mois sinon.
- Accès IA et recherche : chaque mois, et à chaque fois que vous touchez à robots.txt.
- Vitesse et mobile : après toute refonte ou grand ajout de contenu.
Si ça ressemble à une corvée permanente, c’est parce que ç’en est une. Une vraie, et c’est la raison pour laquelle la maintenance est sautée.
Ou déléguez toute la liste
Vous pouvez lancer chaque contrôle ici vous-même, gratuitement, et vous devriez le faire au moins une fois. Le piège, c’est le mois prochain, et celui d’après, car les certificats expirent, les enregistrements dérivent et les règles des robots changent, que vous pensiez à regarder ou non.
Ce travail continu, c’est ce que fait Surmado. Vous n’utilisez pas un outil de liste. Scout reconstruit votre site sur une base où tout cela est bien réglé dès le premier jour, puis le maintient ainsi : certificat valide, e-mail authentifié, robots d’IA autorisés, vitesse dans les clous. Rien de cette liste ne devient votre problème du dimanche soir. Si vous voulez que tout le site soit pris en charge, c’est Surmado Sites.
À lire aussi :