Ressources · 06
Web sécurisé et performant : guide d’audit orienté parcours
Auditer vitesse, accessibilité, sécurité et conversion autour des actions que les utilisateurs doivent réellement accomplir.
· 12 min
Ce que ce guide permet
- Prioriser les vrais blocages utilisateurs
- Réduire poids, dépendances et surface d’attaque
- Relier performance et conversion
- Valider les corrections dans des conditions réalistes
Contrôle express
- Les trois parcours les plus importants sont-ils nommés ?
- Les mesures terrain sont-elles segmentées mobile ?
- Le site reste-t-il utilisable au clavier ?
- Chaque script tiers a-t-il un propriétaire ?
- Les erreurs de formulaire aident-elles réellement à terminer l’action ?
Méthode pas à pas
- 01
Choisir les parcours critiques
Sélectionnez recherche, lecture, contact, inscription, achat ou administration selon la valeur métier. Décrivez appareils, réseau, contexte et résultat attendu.
Livrable : scénarios de test priorisés.
- 02
Mesurer terrain et laboratoire
Combinez données réelles agrégées et tests reproductibles. Observez chargement, réactivité, stabilité, erreurs et abandon sans réduire l’analyse à une note unique.
Livrable : état initial segmenté.
- 03
Inspecter le chemin critique
Analysez HTML initial, polices, images, JavaScript, cache, serveur et ressources bloquantes. Attribuez un budget aux éléments qui servent directement le parcours.
Livrable : budget de performance.
- 04
Réduire la surface exposée
Inventoriez scripts tiers, dépendances, en-têtes, cookies, sessions, formulaires et interfaces d’administration. Retirez l’inutile et durcissez côté serveur.
Livrable : registre des dépendances et protections.
- 05
Tester l’expérience inclusive
Parcourez chaque action au clavier, au lecteur d’écran, sur petit écran, avec zoom et en situation d’erreur. Vérifiez intitulés, focus, contraste et messages de récupération.
Livrable : rapport accessibilité et friction.
- 06
Déployer avec garde-fous
Automatisez les contrôles stables, observez les indicateurs métier après livraison et prévoyez retour arrière. Une correction est close lorsque le parcours réel s’améliore sans régression.
Livrable : plan de validation continue.
Comprendre · essayer · décider
Core Web Vitals : lire les seuils sans confondre les mesures
Le LCP décrit l’affichage du contenu principal, l’INP la réactivité aux interactions et le CLS la stabilité visuelle. Les seuils « bons » sont respectivement 2,5 s, 200 ms et 0,1. La lecture des données terrain se fait au 75e percentile, en séparant mobile et ordinateur. Un test de laboratoire isolé ne représente pas cette distribution.
Avant de corriger, notez la page ou le groupe de pages, la période, le type d’appareil et la provenance de chaque valeur. L’outil ci-dessous classe trois valeurs que vous fournissez ; il ne visite pas votre site. Une valeur manquante reste une mesure à collecter.
Pour une page produit, examinez d’abord la ressource qui porte le LCP, puis reproduisez l’interaction lente et recherchez le déplacement visible. Après modification, comparez les mêmes parcours et les mêmes appareils. Conservez aussi le comportement fonctionnel : un bouton rapide qui ne valide plus la commande n’est pas une amélioration.
Repères et preuves à conserver
| Repère | Ce que vous pouvez conclure | Preuve à conserver |
|---|---|---|
| LCP ≤ 2,5 s | Contenu principal dans la zone « bonne » | Valeur p75, URL ou groupe, appareil et période |
| INP ≤ 200 ms | Réactivité dans la zone « bonne » | Valeur p75 et interaction reproduite |
| CLS ≤ 0,1 | Stabilité dans la zone « bonne » | Valeur p75 et élément à l’origine du déplacement |
Du constat à la décision
- Définir le périmètre
- Observer le terrain
- Reproduire la cause
- Corriger et comparer
Choisir une correction à partir de mesures comparables
Ces seuils sont des repères publiés par Google, pas des mesures de ce site. Comparez une période, un appareil et un périmètre identiques. Le résultat global exige que les trois indicateurs soient dans la zone bonne ; un indicateur absent ne peut pas être déduit des deux autres.
- LCP bon au p75
- 2,5 sAffichage du contenu principal
- INP bon au p75
- 200 msRéactivité aux interactions
- CLS bon au p75
- 0,1Stabilité de la mise en page
| Indicateur | Bon | À améliorer | Mauvais |
|---|---|---|---|
| LCP (s) | ≤ 2,5 | > 2,5 et ≤ 4 | > 4 |
| INP (ms) | ≤ 200 | > 200 et ≤ 500 | > 500 |
| CLS | ≤ 0,1 | > 0,1 et ≤ 0,25 | > 0,25 |
Aux bornes : 4 s, 500 ms et 0,25 restent dans la zone à améliorer, selon le tableau de référence Google. Ne mélangez pas secondes et millisecondes.
| Mesures au p75 | Lecture | Action à vérifier |
|---|---|---|
| LCP 3,2 s · INP 180 ms · CLS 0,08 | Seul le chargement principal est à améliorer. | Identifier l’élément LCP et séparer attente serveur, téléchargement et délai d’affichage. |
| LCP 2,2 s · INP 650 ms · CLS 0,05 | La réactivité est mauvaise malgré un chargement bon. | Reproduire l’interaction lente, examiner les tâches longues et vérifier le retour visible après l’action. |
| LCP 2,4 s · INP 190 ms · CLS 0,28 | La stabilité est mauvaise. | Repérer le déplacement et réserver les dimensions des médias ou des espaces injectés. |
Aucun de ces exemples ne décrit des visiteurs réels. La correction doit ensuite être confirmée sur le terrain.
Contrôles avant de conclure
- Conserver l’outil, les dates, l’URL ou l’origine, l’appareil et le nombre d’observations lorsqu’il est disponible. Une mesure à l’origine ne décrit pas forcément la page étudiée.
- Examiner les parcours sans interaction séparément : une absence de valeur INP ne signifie pas une interaction instantanée.
- Utiliser le laboratoire pour reproduire une cause ; le score Lighthouse et son TBT ne remplacent pas l’INP mesuré avec de vraies interactions.
Décision : corriger la cause observée, rejouer le parcours puis comparer les mêmes distributions. Un bon score de performance ne certifie ni accessibilité ni sécurité.
Règle de calcul
Bon : LCP ≤ 2,5 ; INP ≤ 200 ; CLS ≤ 0,1. Mauvais : LCP > 4 ; INP > 500 ; CLS > 0,25. Entre les deux : à améliorer.
Changer une hypothèse
Le même site, deux conditions de mesure
Un bon test isolé et un indicateur de terrain répondent à des questions différentes. Ce cas fictif aide à choisir le contrôle suivant.
- Laboratoire
Une visite contrôlée donne un LCP de 1,8 s.
- Terrain
Le p75 mobile observé sur une période définie est de 3,4 s.
- Diagnostic
Identifier pages, appareils et conditions représentés avant d’attribuer cet écart à une cause.
Exercice de lecture : les variantes décrivent des situations fictives.
Faut-il remplacer la mesure terrain par le test rapide ?
- Nouvel élément
- Les deux chiffres portent sur des populations et des conditions différentes.
- Ce que cela change
- Conserver les deux avec leur provenance. Utiliser le laboratoire pour reproduire un problème ; vérifier l’effet de la correction dans le périmètre terrain retenu.
Et si le terrain ne contient pas assez de données ?
- Nouvel élément
- Le rapport ne fournit aucune valeur exploitable pour la page.
- Ce que cela change
- Présenter la valeur comme indisponible, jamais comme zéro. Élargir le diagnostic avec un périmètre clairement identifié sans prétendre avoir mesuré cette URL.
Exemple d’application
Situation illustrative
Une page de réservation paraît rapide en laboratoire mais le bouton de confirmation répond lentement sur mobile. L’équipe segmente les mesures terrain par appareil et parcours, puis teste une réduction du JavaScript et le comportement au clavier.
Décision et preuve attendue
La correction n’est acceptée que si la tâche reste accessible, si l’interaction s’améliore et si les contrôles de sécurité du parcours fonctionnent encore.
Indicateurs de pilotage
| Indicateur | Ce qu’il mesure | Première action |
|---|---|---|
| Réussite du parcours | Utilisateurs qui terminent l’action sans erreur bloquante | Corriger d’abord les ruptures communes à plusieurs segments |
| Performance terrain | Chargement, interaction et stabilité vécus sur appareils réels | Segmenter avant de cibler le goulot dominant |
| Poids tiers | Octets, temps principal et requêtes hors contrôle direct | Retirer, différer ou remplacer chaque tiers non essentiel |
| Taux d’erreur | Échecs techniques et erreurs de saisie par étape | Améliorer prévention, message et récupération |
Erreurs fréquentes
- Optimiser uniquement la page d’accueil
- Confondre score laboratoire et expérience réelle
- Ajouter un outil de sécurité sans retirer les risques inutiles
- Dégrader accessibilité ou mesure pour gagner quelques millisecondes
Questions fréquentes
Performance et sécurité sont-elles contradictoires ?
Non. Réduire dépendances, JavaScript et requêtes inutiles améliore souvent les deux. Les arbitrages doivent être mesurés sur les parcours et le risque réel.
Quel score faut-il viser ?
Un seuil unique ne remplace pas les données terrain. Fixez des budgets par parcours, appareil et population, puis suivez leur évolution avec les résultats métier.
Pourquoi inclure l’accessibilité dans l’audit ?
Parce qu’une action rapide mais inutilisable au clavier, mal annoncée ou impossible à corriger reste un échec utilisateur et commercial.
Références : données, usages et limites
Documentation consultée le .
| Source et objet | Donnée ou repère vérifié | Comment l’utiliser | Limite à conserver |
|---|---|---|---|
| MDN · Cookie boundaries Comprendre la portée des cookies de session et les limites de SameSite. |
Secure, HttpOnly, SameSite et le préfixe __Host- répondent à des risques distincts. Un site peut regrouper plusieurs origines. | Tester navigation externe, sous-domaines, retour prestataire et opérations authentifiées séparément. | Une configuration de cookie ne remplace ni les contrôles CSRF ni les autorisations côté serveur. |
Repères IANA et lecture DNSSEC
Distinguer résolution, cache et réponse web
Une indisponibilité peut apparaître avant toute réponse HTTP. La résolution DNS, sa validation et les caches doivent être examinés séparément du serveur web.
- Noter l’étape où la requête échoue et le résolveur concerné.
- Un TTL reçu et une expiration RRSIG sont deux contraintes différentes.
- La disparition d’une erreur sur un poste ne prouve pas une reprise pour tous les visiteurs.
Lire les registres et essayer le modèle de cache →
IETF · RFC 4033 · §3–5 · 2026-10-23
Extensions : permissions et accès
Ajouter le navigateur au périmètre d’exposition
Un site peut être correctement durci tout en étant consulté depuis un profil doté d’extensions très autorisées. La revue doit conserver la frontière entre sécurité du site, capacités du navigateur et choix du poste administré.
- Inventorier les extensions du profil de test avec leur version et leur propriétaire.
- Expliquer pourquoi un accès à un hôte est nécessaire et contrôler les permissions optionnelles effectivement accordées.
- Tester limitation d’accès et retrait ; un lecteur statique de manifeste ne remplace pas l’observation du code et des flux.
Consulter le répertoire et les exemples de manifestes →
Microsoft Learn · Manage Microsoft Edge extensions using group policies · Enterprise policy documentation consulted 2026-10-23
CSP : directives, replis et parcours
Une CSP indique au navigateur quelles ressources et certains comportements sont permis pour une page. Pour la relire, il faut distinguer la directive recherchée, son éventuel repli, le mode de la politique et sa livraison. Un nom de directive présent dans un en-tête ne prouve pas à lui seul que le parcours utilisateur est protégé.
Douze chaînes de repli extraites de CSP3 §6.8.3, trois contrôles indépendants et huit scénarios fictifs. Référence : Working Draft W3C du 16 septembre 2026, travail en cours et non Recommandation finale. Le registre IANA consulté contient seize noms et porte une mise à jour du 3 février 2023.
W3C · Content Security Policy Level 3 · Mike West, Antonio Sartori · Working Draft · 2026-09-16 · work in progress · §2.2.1, §3, §6.8.3–6.8.4, §8.1
Douze ordres de repli et trois contrôles sans default-src
La liste sélectionnée ne s’ajoute pas à celle de default-src. Une directive présente mais vide arrête aussi la recherche. Les trois dernières lignes ne sont pas des chaînes de fetch : base-uri, form-action et frame-ancestors exigent leur propre directive.
| Contrôle recherché | Ordre de recherche · première présence retenue | Référence |
|---|---|---|
script-src-elem | script-src-elem → script-src → default-src | CSP3 §6.8.3 |
script-src-attr | script-src-attr → script-src → default-src | CSP3 §6.8.3 |
style-src-elem | style-src-elem → style-src → default-src | CSP3 §6.8.3 |
style-src-attr | style-src-attr → style-src → default-src | CSP3 §6.8.3 |
worker-src | worker-src → child-src → script-src → default-src | CSP3 §6.8.3 |
connect-src | connect-src → default-src | CSP3 §6.8.3 |
manifest-src | manifest-src → default-src | CSP3 §6.8.3 |
object-src | object-src → default-src | CSP3 §6.8.3 |
frame-src | frame-src → child-src → default-src | CSP3 §6.8.3 |
media-src | media-src → default-src | CSP3 §6.8.3 |
font-src | font-src → default-src | CSP3 §6.8.3 |
img-src | img-src → default-src | CSP3 §6.8.3 |
base-uri | base-uri | base-uri |
form-action | form-action | form-action |
frame-ancestors | frame-ancestors | frame-ancestors |
Atelier de lecture CSP
Choisissez un cas et un contrôle. L’atelier utilise les directives déjà découpées de ces exemples, conserve la première occurrence d’un nom et s’arrête à la première directive présente dans l’ordre indiqué. Il ne lit pas une CSP arbitraire et ne vérifie ni les expressions de source, ni les URL, nonces, empreintes, redirections ou comportements réels du navigateur.
Chaque politique est lue séparément, avec son mode et son mode de livraison. Les valeurs sont affichées comme texte ; l’atelier ne charge aucune ressource mentionnée par les exemples.
Résultat par politique
Livraison et mode : trois lectures différentes
| Mécanisme | Ce qui doit être vérifié | Limite |
|---|---|---|
| Content-Security-Policy | En-tête de réponse et politiques effectivement reçues. | Chaque politique appliquée ajoute sa contrainte ; une seconde n’assouplit pas la première. |
| Content-Security-Policy-Report-Only | Observation des violations et circuit de rapports configuré. | Le mode observation n’applique pas le blocage de cette politique. |
| meta http-equiv | Position de la balise et contenu déjà traité avant elle. | Report-Only, frame-ancestors, report-uri et sandbox ne sont pas fournis par ce mécanisme. |
Huit scénarios de lecture et leurs tests de recette
C01 · Un repli vers default-src
script-src-elem
1 · enforce · header
Content-Security-Policy: default-src 'none'Lecture : script-src-elem et script-src sont absents : la chaîne arrive à default-src. Cette liste ne définit pas base-uri, form-action ou frame-ancestors.
Test à ajouter : Comparer aussi ces trois contrôles indépendants dans le sélecteur. Ne pas déduire une protection contre l’intégration de la page à partir de default-src.
C02 · Le repli n’est pas une fusion de listes
script-src-attr
1 · enforce · header
Content-Security-Policy: default-src 'none'; script-src 'self'Lecture : script-src-attr reprend script-src, avant default-src. Les deux listes ne sont pas concaténées. La présence de self ne suffit pas à autoriser un gestionnaire inline.
Test à ajouter : Tester séparément les éléments script, attributs d’événements et autres mécanismes utiles au parcours. L’atelier choisit une directive ; il ne décide pas de l’exécution d’un script.
C03 · Un worker rencontre child-src avant script-src
worker-src
1 · enforce · header
Content-Security-Policy: default-src 'none'; script-src 'self'; child-src https://frames.example.netLecture : worker-src est absent. La première directive présente dans son ordre de repli est child-src. Le nom child ne signifie pas que seuls les iframes sont concernés.
Test à ajouter : Vérifier workers et cadres séparément ; noter le contrôle sélectionné et observer le navigateur dans le contexte réel.
C04 · Une directive spécifique arrête le repli
worker-src
1 · enforce · header
Content-Security-Policy: default-src 'none'; child-src https://frames.example.net; worker-src 'self' blob:Lecture : worker-src est présent : ni child-src ni default-src ne fournissent la liste pour ce contrôle. La valeur est montrée sans vérifier une URL, une redirection ou un schéma local.
Test à ajouter : Tester la création et le chargement des workers attendus, avec leur politique propre et leurs dépendances. Ne pas transformer cette liste illustrative en configuration universelle.
C05 · Une directive vide n’est pas absente
img-src
1 · enforce · header
Content-Security-Policy: img-src; img-src https://images.example.net; default-src 'self'Lecture : La première occurrence img-src est retenue avec une liste vide. La seconde occurrence est écartée dans cette politique ; l’atelier ne remplace pas la première par default-src.
Test à ajouter : Contrôler les doublons dans la configuration et la réponse reçue. Un champ présent sans expression de source ne doit pas être traité comme un champ manquant.
C06 · Deux politiques appliquées restent deux contraintes
connect-src
1 · enforce · header
Content-Security-Policy: default-src 'self'; connect-src 'none'2 · enforce · header
Content-Security-Policy: connect-src https://api.example.netLecture : La première politique conserve connect-src none ; la seconde nomme une origine. Ajouter la seconde ne lève pas la restriction de la première. Les résultats sont affichés indépendamment.
Test à ajouter : Observer chaque en-tête reçu après CDN et proxy. Ne pas réunir les sources des deux politiques en une liste d’autorisations plus large.
C07 · Observer n’est pas bloquer
script-src-elem
1 · enforce · header
Content-Security-Policy: script-src 'self'2 · report-only · header
Content-Security-Policy-Report-Only: script-src 'none'Lecture : La directive script-src est sélectionnée dans les deux politiques. La seconde est Report-Only : elle sert à observer les violations, sans appliquer son blocage. La première garde son effet propre.
Test à ajouter : Prévoir la collecte des rapports, puis vérifier les parcours réels avant une activation décidée séparément. Ne pas annoncer un blocage à partir du seul nom d’une directive observée.
C08 · frame-ancestors dans meta est ignoré
frame-ancestors
1 · enforce · meta
<meta http-equiv="Content-Security-Policy" content="default-src 'none'; frame-ancestors 'none'">Lecture : Cette directive n’est pas prise en charge dans une politique livrée par meta. default-src reste un contrôle de ressources, pas une solution de repli pour frame-ancestors.
Test à ajouter : Examiner la politique réellement reçue dans les en-têtes et les intégrations autorisées. Une balise meta ne fournit pas non plus le mode Report-Only.
Seize noms IANA : distinguer enregistrement et prise en charge
Les références CSP2 du registre sont conservées telles quelles. Cette copie ne recense pas tous les ajouts de CSP3 : l’absence de worker-src ou script-src-elem dans ce registre ne rend pas ces noms invalides dans la spécification CSP3. Inversement, un nom historique comme plugin-types ne garantit pas sa prise en charge par un navigateur actuel.
IANA · Content Security Policy Directives · Registry updated 2023-02-03 · consulted 2026-10-23
| Nom enregistré | Référence du registre | Date d’enregistrement |
|---|---|---|
base-uri | https://www.w3.org/TR/CSP2 | 2015-11-24 |
child-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
connect-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
default-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
font-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
form-action | https://www.w3.org/TR/CSP2 | 2015-11-24 |
frame-ancestors | https://www.w3.org/TR/CSP2 | 2015-11-24 |
frame-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
img-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
media-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
object-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
plugin-types | https://www.w3.org/TR/CSP2 | 2015-11-24 |
report-uri | https://www.w3.org/TR/CSP2 | 2015-11-24 |
sandbox | https://www.w3.org/TR/CSP2 | 2015-11-24 |
script-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
style-src | https://www.w3.org/TR/CSP2 | 2015-11-24 |
IANA · Protocol Registries · CC0 1.0 · Revised 2021-11-10
Tester la protection sans casser le parcours
| Parcours CIE proposé | Contrôle à relire | Preuve utile |
|---|---|---|
| Connexion et récupération | Scripts, styles, cadres et connexions nécessaires. | Succès, refus utile, récupération et erreurs observés avec les politiques reçues. |
| Paiement ou intégration externe | frame-src pour le contenu intégré ; frame-ancestors pour qui intègre votre page. | Les deux directions sont testées séparément, sans les confondre. |
| Formulaire et confirmation | form-action, scripts de validation et requêtes d’API. | Soumission et confirmation reçues ; un clic seul ne prouve pas le traitement. |
| Worker et fonctionnalités différées | worker-src puis son ordre de repli. | Création, ressources dépendantes et erreurs visibles dans le contexte autorisé. |
| Ajout d’un tiers | Inventaire des scripts, connexions, images et cadres réellement requis. | Besoin documenté et échantillon de parcours ; pas de joker ajouté pour masquer une rupture. |
| Déploiement progressif | Mode observé, version de configuration et critères d’arrêt. | Rapports examinés, défauts attribués, tests puis décision de mise en application. |
Associez la politique à une version de la page et testez les parcours critiques après les transformations du CDN ou du proxy. CSP est une défense complémentaire : elle ne remplace pas l’encodage des sorties, la maîtrise des dépendances ou le contrôle d’accès. Le modèle ci-dessus explique une sélection de directive, pas un verdict de sécurité.
Provenance, édition et licence
W3C CSP3 · Working Draft 2026-09-16 · reviewed 2026-10-23 · IANA registry 2023-02-03
IANA XML SHA-256: 42d2068b345f9b1df2bb124dd8b20e26d16dbd86960aafb62624aa285f2997c0
W3C HTML SHA-256: df90a9028632b39c70d9ed40dadfadbc2f3f690621ecf6212ef4f1376005738e
W3C · Software and Document license · 2023 · Effective 2023-01-01 · full notice below
This document and its lookup data include material derived from Content Security Policy Level 3, https://www.w3.org/TR/2026/WD-CSP3-20260916/. Copyright © 2026 World Wide Web Consortium. https://www.w3.org/copyright/software-license-2023/
Changes: selected fallback lists extracted as data; original CIE explanations, fictional scenarios and limited lookup implementation added.
This work is being provided by the copyright holders under the following license.
By obtaining and/or copying this work, you (the licensee) agree that you have read, understood, and will comply with the following terms and conditions.
Permission to copy, modify, and distribute this work, with or without modification, for any purpose and without fee or royalty is hereby granted, provided that you include the following on ALL copies of the work or portions thereof, including modifications:
The full text of this NOTICE in a location viewable to users of the redistributed or derivative work.
Any pre-existing intellectual property disclaimers, notices, or terms and conditions. If none exist, the W3C software and document short notice should be included.
Notice of any changes or modifications, through a copyright statement on the new code or document such as "This software or document includes material copied from or derived from [title and URI of the W3C document]. Copyright © [$year-of-document] World Wide Web Consortium. https://www.w3.org/copyright/software-license-2023/"
THIS WORK IS PROVIDED "AS IS," AND COPYRIGHT HOLDERS MAKE NO REPRESENTATIONS OR WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO, WARRANTIES OF MERCHANTABILITY OR FITNESS FOR ANY PARTICULAR PURPOSE OR THAT THE USE OF THE SOFTWARE OR DOCUMENT WILL NOT INFRINGE ANY THIRD PARTY PATENTS, COPYRIGHTS, TRADEMARKS OR OTHER RIGHTS.
COPYRIGHT HOLDERS WILL NOT BE LIABLE FOR ANY DIRECT, INDIRECT, SPECIAL OR CONSEQUENTIAL DAMAGES ARISING OUT OF ANY USE OF THE SOFTWARE OR DOCUMENT.
The name and trademarks of copyright holders may NOT be used in advertising or publicity pertaining to the work without specific, written prior permission. Title to copyright in this work will at all times remain with copyright holders.
Core Web Vitals : seuils et données terrain
Performance web : expliciter le périmètre de la mesure
Avant d’annoncer un gain, conserver appareil, URL ou origine et période de collecte.
- Comparer le même appareil, le même périmètre et des périodes documentées.
- Ne pas transformer une donnée absente en zéro.
- Vérifier les fonctions et l’accessibilité après le correctif.
Lire les seuils et essayer le lecteur p75 →
Google · About PageSpeed Insights · Living documentation · consulted 2026-10-23
Références officielles
Date de consultation des références : . La méthode et la fiche de travail proposent des contrôles à adapter à votre contexte ; elles ne constituent pas une certification.
- Google Search Central — Core Web Vitals
- W3C — Web Content Accessibility Guidelines 2.2
- MDN · Cookie boundaries
- Google · About PageSpeed Insights
- W3C · Content Security Policy Level 3 · Mike West, Antonio Sartori
- IANA · Content Security Policy Directives
- Google Chrome · Declare permissions
- Microsoft Learn · Manage Microsoft Edge extensions using group policies
- IETF · RFC 4033 · DNSSEC introduction and requirements
- IETF · RFC 4035 · DNSSEC validation and caching
Pour aller plus loin
Analyses associées
