Guide de la pile technologique · État des lieux au 23 octobre 2026
Drupal : guide de préparation
Ce que 3,621 sites mesurés sur cette plateforme ou ce framework font bien, leurs lacunes et les mesures propres à Drupal qui permettent de combler chacune d’elles.
- Sites évalués
- 3,621
- Indice médian de préparation
- 66/100
- Profils utilisant cette pile technologique
- 309
détecté à partir du HTML et des en-têtes de la page d’accueil
tous les sites : 64
sites parmi les 50 000 premiers
Préparation par axe
Activer
79/100
Tous les sites 77
Renforcer
63/100
Tous les sites 55
Accélérer
60/100
Tous les sites 63
Récupérer
19/100
Tous les sites 11
Le guide pratique Drupal
Lacunes classées par impact, avec la mesure propre à la plateforme lorsqu’elle existe.
HSTS conservé pendant au moins un an
45% observé · tous les sites 31%
Envoyez Strict-Transport-Security dans les réponses HTTPS. Commencez par une valeur max-age courte (par exemple 300 secondes), vérifiez que chaque sous-domaine fonctionne en HTTPS, puis augmentez-la par étapes jusqu’à 31536000. Ajoutez includeSubDomains uniquement lorsque tous les sous-domaines utilisent HTTPS. Le préchargement HSTS est facultatif et difficile à annuler ; hstspreload.org lui-même ne le recommande pas par défaut.
security.txt publié
7.1% observé · tous les sites 5.5%
Publiez /.well-known/security.txt avec au minimum les champs Contact et Expires, comme l’exige la RFC 9116, et vérifiez-le avant son expiration.
Guide : Un contrôle pratique de l’état du site pour propriétaires
Formats d’image modernes utilisés
40% observé · tous les sites 40%
Servez des images WebP ou AVIF avec une solution de repli JPEG ou PNG, soit via un CDN d’images, soit en générant les deux formats lors de la compilation.
Guide : AVIF, WebP, JPEG et PNG : choisissez le bon format d’image
Les enregistrements CAA limitent les entités autorisées à émettre des certificats
12% observé · tous les sites 11%
Publiez des enregistrements CAA désignant toutes les autorités de certification que vous utilisez réellement, y compris celles que votre CDN utilise pour les certificats gérés. Ajoutez un contact iodef si vous souhaitez recevoir des rapports.
HTTP/3 annoncé
16% observé · tous les sites 36%
Activez HTTP/3 sur votre CDN. Les navigateurs se rabattent automatiquement sur HTTP/2, le risque est donc faible.
Aucun script bloquant le rendu dans l’élément head
35% observé · tous les sites 44%
Ajoutez defer aux scripts qui ont besoin du DOM, async aux scripts indépendants comme ceux d’analyse d’audience, ou déplacez-les à la fin du corps du document.
Guide : Contrôlez les scripts tiers avant qu'ils ne contrôlent votre page
Fichiers statiques mis en cache pendant 30 jours ou plus
52% observé · tous les sites 50%
Attribuez aux fichiers CSS, JavaScript, polices et images versionnés (avec empreinte) l’en-tête Cache-Control: public, max-age=31536000, immutable, et modifiez le nom du fichier chaque fois que son contenu change.
Guide : Guide de mise en cache navigateur pour propriétaires de sites
La politique DMARC impose la mise en quarantaine ou le rejet
53% observé · tous les sites 31%
Publiez d’abord DMARC avec p=none et une adresse de réception des rapports, corrigez les problèmes des expéditeurs légitimes qui échouent à l’alignement SPF ou DKIM, puis passez à quarantine et enfin à reject.
Guide : Un contrôle pratique de l’état du site pour propriétaires
Domaines dans lesquels les sites Drupal se distinguent
- X-Content-Type-Options: nosniff93% observétous les sites 48%
- Intégration dans des cadres restreinte91% observétous les sites 49%
- La politique DMARC impose la mise en quarantaine ou le rejet53% observéstous les sites 31%
- URL canonique déclarée91% observétous les sites 70%