Audit de site Drupal
Une revue indépendante, à prix fixe, d'un site Drupal en production : vos tests détectent-ils de vrais bugs, où le code sur mesure vous coûte-t-il en performance, et que voient réellement les moteurs de recherche et les robots IA. Vous recevez un rapport classé par gravité, avec les correctifs nommés, à un prix convenu avant que je commence.
Pourquoi un audit Drupal indépendant
Prix fixe
À partir de £750 + TVA, prix et date de livraison convenus à l'avance. Le risque de dépassement est pour moi, pas pour la marge de votre projet.
Indépendant
La revue a du poids précisément parce que je n'ai pas écrit le code. Votre propre équipe ne peut pas jouer ce rôle pour elle-même.
Mesuré, pas supposé
Les angles morts des tests sont prouvés par injection de fautes. Les affirmations sur la performance s'accompagnent de chiffres avant et après.
Références en sécurité
Crédit dans un avis de l'équipe de sécurité de Drupal et deux modules de passerelle de paiement publiés sur Drupal.org.
Ce que couvre l'audit
Quatre passes sur le même site, chacune produisant des constats exploitables indépendamment. Une mission courte peut en prendre n'importe quel sous-ensemble ; la plupart des sites tirent le plus de profit des deux premières.
1. Vos tests détectent-ils vraiment les bugs ?
Relire le code des tests vous dit ce qu'ils étaient censés vérifier. L'injection de fautes vous dit ce qu'ils détectent réellement. Des fautes connues sont insérées une à une dans les modules et le thème sur mesure, et la suite Playwright ou Behat existante est exécutée pour chacune. Les fautes qu'elle rate sont vos angles morts mesurés. Sur le dernier site où j'ai mené cet exercice, la moitié des fautes injectées sont passées inaperçues, y compris un global.js cassé qui neutralisait tous les comportements Drupal sur toutes les pages sans provoquer le moindre échec de test.
2. Code sur mesure et performance
Une lecture ligne par ligne de chaque module et fichier de thème sur mesure, pas seulement un score Lighthouse. Les constats récurrents sont des hooks de preprocess qui mettent max-age à zéro et désactivent silencieusement le cache de page sur tout le site, des appels à referencedEntities() dans des boucles, et des objets de configuration rechargés à chaque requête. Cela s'accumule au fil des années et fait rarement l'objet d'un rapport de bug, parce que rien n'est cassé ; le site est simplement lent et personne ne sait dire pourquoi.
3. Posture de sécurité
Revue des modules contribués et sur mesure selon les mêmes normes que j'applique lorsque je signale un problème à l'équipe de sécurité de Drupal : contrôles d'accès, sorties non assainies, requêtes non sécurisées, gestion des fichiers et dépendances obsolètes faisant l'objet d'avis connus. Classée par gravité, avec des correctifs lorsque la remédiation est dans le périmètre. Utile comme preuve lors d'une surveillance ISO 27001 ou d'un renouvellement Cyber Essentials.
4. Préparation pour la recherche et les robots IA
Ce que Google et les robots IA voient réellement, et pourquoi Drupal le produit. Sur Drupal, une méta-description vide est généralement un gabarit de thème qui écrase le module Metatag, pas un problème de contenu ; le correctif relève donc du code et s'applique à toutes les pages d'un coup. Couvre les données structurées, les sorties Open Graph et Twitter Card, la gestion des canoniques, les directives sitemap et robots, ainsi que llms.txt et la politique de crawl pour GPTBot, Google-Extended, Claude-Web et PerplexityBot.
Ce que vous recevez
Un rapport classé par gravité
Chaque constat avec sa preuve, son impact, le fichier et la ligne où il se trouve, et le correctif. Rédigé pour être lu par un responsable technique et parcouru par la personne qui valide le budget.
Des chiffres avant et après
Taux de détection des fautes, chiffres PageSpeed et Core Web Vitals, nombre de requêtes. Des affirmations vérifiables plutôt qu'assénées.
Une liste de remédiation priorisée
Classée par impact rapporté à l'effort, pour que la première demi-journée de travail soit celle qui compte le plus. La remédiation est chiffrée séparément à prix fixe une fois les constats connus, et rien dans le prix de l'audit ne dépend de votre achat. Remettez la liste à votre propre équipe si vous préférez.
Un exemple réel
Un site Drupal 11 d'entreprise avec Commerce avait besoin d'une revue de qualité approfondie avant une période commerciale intense. Les constats étaient typiques d'un site resté sain pendant des années et dérivant discrètement :
- Cinq des dix fautes injectées sont passées totalement inaperçues. La suite était aveugle à toute erreur JavaScript.
- Deux hooks de preprocess sur des blocs présents sur tout le site mettaient
max-ageà zéro, désactivant l'Internal Page Cache de Drupal sur l'ensemble du site. - Un bloc de sponsors exécutait la même requête d'entités une fois par terme de taxonomie ; les pages à carrousel effectuaient plus de vingt chargements d'entités individuels pour cinq images.
- Seize lectures de configuration non mises en cache par requête de page, chacune sollicitant la base de données.
- Une méta-description vide codée en dur dans le thème de base écrasait le module Metatag sur chaque page, et aucune donnée structurée n'existait sur le site.
La détection des fautes est passée de 50 % à 70 % avec quatre nouveaux tests et un collecteur d'erreurs navigateur. Les correctifs de cache, de requêtes et de configuration ont été livrés en parallèle. Le compte rendu complet, avec le tableau d'injection de fautes et les résultats mesurés, est publié ici : comment l'audit de qualité du site Drupal 11 a été mené, étape par étape.
Tarifs
À partir de £750 + TVA
Les audits sont à prix fixe, convenu par écrit avant que je commence. Pour un site typique, les deux premières passes, tests et code sur mesure, sont à partir de £750 + TVA ; les quatre passes sont à partir de £1,250 + TVA. Les bases de code très volumineuses ou multi-sites sont chiffrées sur examen. La remédiation est chiffrée séparément une fois les constats connus, et rien dans le prix de l'audit ne dépend de votre achat.
Comment ça se passe
Parlez-moi du site
Version de Drupal, volume approximatif de code sur mesure, existence ou non d'une suite de tests, et ce qui vous inquiète. Aucun cahier des charges formel n'est nécessaire. Je vous dirai honnêtement si un audit n'est pas ce dont vous avez besoin.
Vous recevez un prix fixe et une date
Périmètre défini par écrit, prix fixe, date de livraison que vous pouvez promettre à un client. Pas de facturation horaire ni de dérive de périmètre surprise.
J'audite une copie, pas votre site de production
Le travail s'effectue sur une copie de la base de données et une construction locale. L'injection de fautes, en particulier, ne touche jamais rien d'accessible à vos utilisateurs.
Rapport livré, remédiation optionnelle
Vous recevez le rapport et la liste priorisée. Les correctifs sont chiffrés séparément, et vous êtes libre de confier le rapport à votre propre équipe.
Vérifiable, pas seulement affirmé. En juin 2026, j'ai signalé la faille de cross-site scripting dans Drupal Commerce Core publiée sous la référence SA-CONTRIB-2026-041. Elle est publique sur Drupal.org à mon nom, aux côtés de mes contributions et de deux modules de passerelle CyberSource publiés.
Questions fréquentes
Quels problèmes courants les équipes découvrent-elles lors d'un audit de site Drupal ?
Les plus fréquents sont des hooks de preprocess qui mettent max-age à zéro et désactivent silencieusement le cache de page sur tout le site, des chargements d'entités N+1 dans des boucles, des lectures de configuration non mises en cache répétées à chaque requête, une suite de tests incapable de voir les erreurs JavaScript, et des métadonnées codées en dur dans un gabarit de thème qui écrasent le module Metatag. La plupart s'accumulent discrètement au fil des années sans jamais faire l'objet d'un rapport de bug.
En quoi un audit de site Drupal diffère-t-il d'un audit SEO ?
Un audit SEO regarde ce qu'un robot voit. Un audit de site Drupal regarde aussi pourquoi le site produit cette sortie : les gabarits du thème, la configuration des modules, les métadonnées de cache et le code sur mesure. Sur Drupal, une méta-description vide est généralement un bug de gabarit plutôt qu'un problème de contenu, et la corriger à la source la corrige sur toutes les pages d'un coup.
Comment savez-vous si la suite de tests existante fonctionne vraiment ?
Par injection de fautes. Des fautes connues de différents types sont insérées une à une dans les modules et le thème sur mesure, et la suite existante est exécutée pour chacune. Tout ce qu'elle ne remarque pas est un angle mort réel et mesuré, plutôt qu'une opinion sur la couverture des tests.
Corrigez-vous ce que vous trouvez, ou vous contentez-vous de le signaler ?
L'audit lui-même est un rapport. La remédiation est chiffrée séparément à prix fixe une fois les constats connus, vous êtes donc libre de confier le rapport à votre propre équipe. Rien dans le prix de l'audit ne dépend de votre achat des correctifs.
L'audit peut-il être livré en marque blanche au nom d'une agence ?
Oui, et les agences le font souvent. Voir capacité Drupal en marque blanche pour les agences pour le fonctionnement. Une revue indépendante a aussi plus de poids auprès du client final précisément parce que son auteur n'a pas écrit le code.
Quelles versions de Drupal auditez-vous ?
Drupal 11 et Drupal 10. J'audite aussi des sites Drupal 7 et Drupal 9, mais pour ceux-là le rapport sert généralement aussi de dossier de migration ; voir services de support et de migration Drupal.
Vous ne savez pas ce qui ralentit le site ?
Indiquez-moi la version de Drupal et ce qui vous inquiète. Je reviendrai vers vous sous un jour ouvré avec un prix fixe et une date.
Nous contacter