Mettre un site en ligne proprement.

Le domaine est enregistré à votre nom (ou celui de votre entreprise) avec renouvellement automatique. Le domaine nu et www pointent vers le site, et l’un redirige définitivement vers l’autre.

Vérifier : Ouvrez http://, https://, avec et sans www : tout aboutit à la même adresse en une seule redirection.

Preuve : Titulaire du domaine, date d’expiration et résultat des quatre tests.

Échec courant : Domaine enregistré au nom de l’agence ou du freelance, perdu à la fin de la collaboration.

Chaque page et chaque ressource sont servies en HTTPS, HTTP redirige vers HTTPS, et le certificat se renouvelle seul. Ajoutez HSTS une fois HTTPS confirmé sur tous les sous-domaines concernés.

Vérifier : Aucun avertissement de contenu mixte dans la console du navigateur ; date d’expiration et renouvellement automatique du certificat vérifiés.

Preuve : Capture du certificat et de la redirection HTTP → HTTPS.

MDN — Strict-Transport-Security ↗ · revu le 2026-10-23

La production a ses propres réglages ; les aperçus ou la préproduction ne sont pas indexés et n’envoient pas de vrais emails. Vous gardez un accès administrateur au compte d’hébergement.

Vérifier : Ouvrez une URL d’aperçu : elle porte noindex ou est protégée ; vous pouvez vous connecter vous-même à l’hébergeur.

Preuve : Liste des environnements et des personnes qui y ont accès.

Formulaires, confirmations et newsletters partent d’un domaine authentifié, sinon ils finissent en indésirables. Les règles de Google pour les expéditeurs exigent au moins SPF ou DKIM, et davantage pour les envois en volume.

Vérifier : Envoyez un formulaire vers Gmail et Outlook ; dans « Afficher l’original », SPF et DKIM sont « PASS ».

Preuve : Capture des en-têtes d’authentification.

Google Workspace Admin Help — Email sender guidelines ↗ · revu le 2026-10-23

Clés d’API privées, mots de passe et jetons restent côté serveur, dans des variables d’environnement par environnement — jamais dans le JavaScript envoyé au navigateur ni dans l’historique Git. Une clé exposée doit être révoquée, pas seulement supprimée.

Vérifier : Cherchez les préfixes de clés connus dans le dépôt, son historique et le code source servi au navigateur.

Preuve : Résultat de la recherche et liste des variables d’environnement de production.

OWASP — Secrets Management Cheat Sheet ↗ · revu le 2026-10-23

Validation côté serveur, limite de fréquence, champ piège ou captcha si nécessaire : un formulaire ouvert devient vite une source de spam ou d’abus d’envoi d’emails.

Vérifier : Envoyez dix fois le formulaire en une minute et un formulaire invalide : le serveur refuse proprement.

Preuve : Résultat du test.

Un CMS ou une extension non mis à jour est une porte d’entrée fréquente. Les comptes administrateurs ont des mots de passe uniques et une double authentification.

Vérifier : Tableau de bord du CMS : aucune mise à jour de sécurité en attente ; double authentification active sur chaque compte admin.

Preuve : Capture du tableau de bord et liste des comptes admin.

OWASP — Top 10 ↗ · revu le 2026-10-23

Content-Security-Policy quand c’est réaliste, X-Content-Type-Options, protection contre l’affichage dans un cadre (frame-ancestors) et politique de référent.

Vérifier : Inspectez les en-têtes de réponse de la page d’accueil dans les outils du navigateur.

Preuve : Capture des en-têtes.

OWASP — Top 10 ↗ · revu le 2026-10-23

Chargement (LCP), réactivité (INP) et stabilité visuelle (CLS) mesurés sur mobile. Les données de terrain priment sur un test de laboratoire ponctuel quand elles existent.

Vérifier : Mesurez les pages principales sur mobile (PageSpeed Insights ou Lighthouse) et notez les résultats.

Preuve : Résultats datés par page.

Google Search Central — Core Web Vitals ↗ · revu le 2026-10-23

Images aux bonnes dimensions et formats modernes, chargement différé sous la ligne de flottaison, polices limitées et préchargées si nécessaire.

Vérifier : Onglet Réseau : aucune image de plusieurs mégaoctets sur les pages principales.

Preuve : Poids total des pages principales.

web.dev — Web Vitals ↗ · revu le 2026-10-23

Pas de défilement horizontal, textes lisibles, zones tactiles assez grandes, formulaires utilisables avec le clavier du téléphone.

Vérifier : Parcourez le site sur un iPhone et un Android, réseau mobile.

Preuve : Appareils testés et problèmes trouvés.

Navigation complète au clavier avec focus visible, contrastes suffisants, textes alternatifs pertinents, champs de formulaire étiquetés, titres hiérarchisés. Le niveau AA des WCAG 2.2 est une bonne cible.

Vérifier : Parcourez le site uniquement au clavier ; passez un outil d’audit automatique, puis vérifiez à la main ce qu’il ne voit pas.

Preuve : Résultats de l’audit et du test au clavier.

W3C — Web Content Accessibility Guidelines (WCAG) 2.2 ↗ · revu le 2026-10-23

L’attribut lang correspond à la langue de chaque page, et le sélecteur de langue est utilisable au clavier et par un lecteur d’écran.

Vérifier : Inspectez <html lang> sur une page de chaque langue.

Preuve : Valeurs relevées.

W3C — Web Content Accessibility Guidelines (WCAG) 2.2 ↗ · revu le 2026-10-23

Formulaires, analytics, newsletter, hébergement : décrivez quelles données vous traitez, pourquoi, avec quels prestataires, combien de temps, et comment exercer ses droits. Vérifiez ce qui s’applique à vous : la LPD suisse, et le RGPD si vous ciblez des personnes dans l’UE. Ceci n’est pas un avis juridique.

Vérifier : Listez chaque outil qui reçoit des données (formulaire, analytics, emailing) et vérifiez qu’il figure dans la déclaration.

Preuve : URL de la déclaration et liste des prestataires.

Fedlex — Swiss Federal Act on Data Protection (FADP) ↗ · revu le 2026-10-23

Si vous ciblez l’UE, les traceurs non essentiels exigent en général un consentement préalable. Une bannière n’a de sens que si les scripts attendent réellement la réponse. Une mesure d’audience sans cookie peut simplifier la situation. Vérifiez ce qui s’applique à vous.

Vérifier : Dans une fenêtre privée, avant toute réponse à la bannière, l’onglet Réseau ne montre aucun appel vers un outil de suivi.

Preuve : Capture de l’onglet Réseau avant consentement.

EUR-Lex — General Data Protection Regulation (GDPR) ↗ · revu le 2026-10-23

Mentions légales ou page « Impressum » avec le nom de l’exploitant et une adresse de contact. Les obligations varient selon le pays et l’activité (commerce en ligne notamment) : vérifiez ce qui s’applique à vous.

Vérifier : La page est liée depuis le pied de page de chaque page.

Preuve : URL de la page.

FDPIC — Federal Data Protection and Information Commissioner ↗ · revu le 2026-10-23

robots.txt ne bloque aucune page importante, aucune balise noindex oubliée depuis la préproduction ne reste sur les pages publiques, le sitemap liste les URL canoniques, et chaque page déclare la bonne URL canonique. Les pages privées, de test ou de résultat portent noindex. Rien de tout cela ne garantit un classement.

Vérifier : Lisez /robots.txt et /sitemap.xml en production ; inspectez le code source de chaque modèle de page (robots, canonical) ; utilisez l’inspection d’URL de Search Console sur les pages clés.

Preuve : Contenu de robots.txt, URL du sitemap et résultat de l’inspection d’URL.

Échec courant : Le noindex de la préproduction part en production : le site disparaît des résultats.

Google Search Central — Block indexing with noindex ↗ · revu le 2026-10-23

Chaque page a un titre qui décrit son contenu, une méta-description utile, un seul titre principal (H1) et une image de partage.

Vérifier : Relevez titre et description de chaque page principale : aucun doublon.

Preuve : Tableau des titres et descriptions.

Google Search Central — Title links ↗ · revu le 2026-10-23

La propriété est vérifiée, le sitemap envoyé, et le rapport d’indexation consulté quelques jours après le lancement.

Vérifier : Search Console → Sitemaps : statut « Réussite ».

Preuve : Capture du statut du sitemap.

Search Console Help — Add a website property ↗ · revu le 2026-10-23

Chaque ancienne URL qui reçoit du trafic ou des liens redirige (301/308) vers son équivalent, sans chaîne de redirections ; les liens internes pointent directement vers les nouvelles URL.

Vérifier : Testez la liste des anciennes URL (export Search Console ou ancien sitemap) : chacune répond par une seule redirection vers une page 200.

Preuve : Tableau ancienne URL → nouvelle URL → code de réponse.

Échec courant : Anciennes pages en 404 après la refonte : trafic organique perdu.

Google Search Central — Site moves with URL changes ↗ · revu le 2026-10-23

Chaque langue a ses propres URL, et les versions se référencent mutuellement avec hreflang, sans annoncer une langue qui n’existe pas.

Vérifier : Inspectez les balises hreflang d’une page et vérifiez que chaque URL citée répond 200.

Preuve : Balises relevées.

Google Search Central — Localized versions of your pages ↗ · revu le 2026-10-23

Organisation, fil d’Ariane, articles, FAQ réellement présentes… uniquement ce que la page montre, validé sans erreur.

Vérifier : Passez les modèles de page dans le Rich Results Test.

Preuve : Résultat du test.

Google — Rich Results Test ↗ · revu le 2026-10-23

Aucun texte provisoire ni page de test publique, aucun lien interne cassé, et une page 404 qui aide à retrouver son chemin.

Vérifier : Passez un outil de vérification des liens sur le site en production ; ouvrez une URL inexistante.

Preuve : Rapport de liens et capture de la page 404.

Un moyen de contact est visible depuis chaque page. Le formulaire envoie bien le message, la personne reçoit une confirmation, et quelqu’un lit la boîte de réception.

Vérifier : Envoyez un message réel depuis un téléphone et vérifiez sa réception et la confirmation.

Preuve : Message reçu, avec la date.

Navigation, appel à l’action principal, formulaires, changement de langue, réservation ou commande : testés sur Safari, Chrome et Firefox, sur mobile et ordinateur, sur le vrai domaine.

Vérifier : Refaites chaque parcours sur le domaine de production après le dernier déploiement.

Preuve : Liste datée des parcours et navigateurs testés.

Le paiement passe par un prestataire reconnu, une vraie transaction en production aboutit (puis est remboursée), la confirmation arrive, et les conditions de vente et de remboursement sont publiées.

Vérifier : Achat réel avec votre carte, réception de la confirmation, remboursement.

Preuve : Référence de la transaction et du remboursement.

Le contenu du CMS, sa base et ses fichiers sont sauvegardés automatiquement, et vous savez restaurer. Un site statique versionné dans Git l’est déjà.

Vérifier : Restaurez une sauvegarde sur un environnement de test.

Preuve : Date de la dernière restauration réussie.

Vous savez remettre en ligne la version précédente si le déploiement casse quelque chose.

Vérifier : Effectuez un retour arrière sur un aperçu ou notez la procédure exacte de votre hébergeur.

Preuve : Procédure notée.

Une surveillance vous alerte si le site tombe ; les échecs d’envoi des formulaires sont visibles.

Vérifier : Mettez une page en panne de test : l’alerte arrive.

Preuve : Outil choisi et personne alertée.

Définissez l’action qui compte (message envoyé, réservation) et mesurez-la, sans envoyer d’email, de nom ou de texte libre à l’outil d’analytics.

Vérifier : Réalisez l’action : l’événement apparaît dans l’outil, sans donnée personnelle.

Preuve : Nom de l’événement et capture.