Votre site utilise-t-il PHP ?

• Il charge la page que vous indiquez, en suivant au plus 5 redirections (par exemple de site.ch vers www.site.ch).
• Si cette page ne donne pas de réponse claire, il essaie au plus trois adresses sur le même site : une adresse inventée en .php, /index.php, et /wp-login.php (chargée, jamais utilisée).
• Il lit les en-têtes de réponse (X-Powered-By, Server), les noms des cookies (pas leur contenu) et le HTML (balise "generator", chemins typiques de WordPress ou Drupal, liens vers des pages .php).

Au plus 8 requêtes, 512 Ko lus par réponse, 12 secondes. Le vérificateur s'annonce avec le user-agent kumo-php-check/1.0.

• Il ne teste pas, ne déclenche pas et n'exploite pas la faille. Il n'envoie rien de conçu pour casser ou surcharger un site.
• Il ne se connecte à rien, ne remplit aucun formulaire, n'exécute pas les scripts du site.
• Il ne visite pas les adresses IP, les réseaux privés ni les ports non standard. Seuls les sites publics peuvent être vérifiés.

• PHP détecté : au moins un indice sans ambiguïté (en-tête qui nomme PHP, cookie de session PHP, logiciel qui ne tourne que sur PHP).
• PHP probablement utilisé : seulement des indices, comme des liens vers des pages .php.
• Aucun signe de PHP : rien trouvé. Ce n'est pas une preuve que PHP n'est pas utilisé.
• Vérification impossible : un pare-feu, une page anti-robot ou une erreur a bloqué la lecture.

Un site peut cacher ce qu'il utilise, et votre boutique en ligne, votre espace d'administration ou votre intranet peuvent tourner sur autre chose que la page d'accueil. La version de PHP affichée est celle que le site annonce ; votre hébergeur peut avoir appliqué un correctif sans changer ce numéro. La seule réponse fiable vient de votre hébergeur ou de votre webmaster.

Pas de compte, pas d'adresse e-mail à laisser ni de cookie de suivi ajouté par cet outil. Le domaine saisi sert à effectuer la vérification. KUMO conserve une liste privée des noms de domaine analysés, sans doublons. Cette liste ne contient ni chemin de page, ni paramètres, ni résultat, ni date, ni adresse IP ou identifiant de visiteur. Elle n'est pas publiée ; vous pouvez demander la suppression d'un domaine via le contact ci-dessous.

Des limites de fréquence protègent le service contre les abus. Les prestataires techniques peuvent conserver des journaux de requêtes à des fins de sécurité et de fonctionnement.

La page est hébergée chez Infomaniak (Suisse). Le vérificateur s'exécute sur Netlify, dont la fonction est actuellement hébergée aux États-Unis. Le domaine soumis et des données techniques, notamment l'adresse IP, sont transmis à Netlify ; les journaux de la plateforme peuvent inclure les paramètres de requête. Pour toute question : thomas.puglisi@kumo-seo.ch. Voir la politique de confidentialité.

Non. L'outil observe uniquement des indices publics pour savoir si un site utilise PHP. Il ne teste, ne déclenche et n'exploite jamais la faille.

Pas forcément. Détecter PHP veut dire que votre site est concerné par la question, pas qu'il est vulnérable. Tout dépend de la version de PHP installée chez votre hébergeur et de son état de correction. Seul votre hébergeur ou votre webmaster peut le confirmer.

Demandez à votre hébergeur de passer à une version corrigée : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. En dessous de 8.2, il faut migrer. Chez la plupart des hébergeurs suisses (Infomaniak, Hostpoint, cyon...), la version de PHP se choisit dans le panneau de gestion de l'hébergement. Si votre site est sous WordPress, mettre à jour WordPress ne suffit pas : la faille est dans PHP, pas dans le thème ni les extensions.

Non. Il ne voit que ce qu'un site montre publiquement. Certains sites cachent leur technologie, un pare-feu peut bloquer la lecture, et une boutique, un espace d'administration ou un intranet peuvent utiliser PHP sans que la page d'accueil le montre. Un résultat "aucun signe" n'est jamais une preuve de sécurité.

Ces plateformes n'utilisent pas PHP pour vos pages et gèrent elles-mêmes leurs serveurs. Vous n'avez rien à mettre à jour. Vérifiez toutefois les autres outils liés à votre domaine (blog, intranet, ancien site oublié) qui peuvent être ailleurs.

Parce que mes clients sont des PME romandes, souvent sous WordPress, et que la plupart n'ont personne pour leur dire si elles sont concernées. La détection est gratuite et le restera. Si vous voulez que je corrige le problème ou que je vous accompagne, écrivez-moi. La page est hébergée chez Infomaniak ; le vérificateur utilise un service Node.js sur Netlify, distinct du site.