Les bons points à vérifier avant de lancer.

Ouvrez le domaine final dans une fenêtre privée. Vérifiez le certificat dans le navigateur et essayez aussi une URL en http:// : elle doit rejoindre la version HTTPS.

Testez les anciennes URL importantes et les variantes avec et sans www. Contrôlez le statut HTTP, la destination et l’absence de boucle de redirection.

Comparez les variables et les clés de chaque environnement. Vérifiez que la production utilise les services prévus et que les environnements privés sont protégés par un contrôle d’accès.

Consultez le HTML initial des pages principales : title, description, URL canonique et Open Graph. Ouvrez les images de partage et vérifiez les intitulés.

Contrôlez robots.txt, le sitemap et les balises robots sur plusieurs pages. Retirez les directives de préproduction uniquement sur le site public concerné et testez séparément les accès privés.

Parcourez le menu et les liens du footer, ouvrez une URL inexistante et essayez les boutons de contact avec des données de test.

Testez plusieurs pages avec les outils du navigateur et une connexion ralentie. Repérez le contenu principal tardif, les décalages et les actions lentes ; complétez avec les données réelles lorsqu’elles sont disponibles.

Parcourez les liens et commandes avec Tab, Maj + Tab, Entrée et Échap. Vérifiez l’ordre du focus, l’ouverture et la fermeture des menus et l’accès à chaque action.

Vérifiez les labels des champs, les alternatives des images utiles et les contrastes. Agrandissez la page à 200 % et testez une largeur de 320 px, dans chaque thème proposé.

Inspectez les fichiers publics, les réponses réseau et les journaux. Si un secret a été exposé, révoquez-le ou remplacez-le avant de corriger sa configuration.

Exécutez l’audit prévu par votre écosystème, examinez les alertes et vérifiez les en-têtes HTTP. Testez les parcours réels avec les protections appliquées, notamment la CSP.

Avec deux comptes de test et une session déconnectée, essayez les URL et identifiants de ressources d’un autre compte, y compris via l’API. Vérifiez que les accès non autorisés sont refusés.

Testez la déconnexion, les liens de récupération expirés ou déjà utilisés et les messages d’erreur. Vérifiez que les sessions ne donnent plus accès aux ressources après leur révocation.

Identifiez les éléments à sauvegarder, leur emplacement et les accès nécessaires. Restaurez une copie dans un environnement isolé et vérifiez des pages représentatives.

Restaurez une sauvegarde de test dans un environnement séparé. Vérifiez les données et un parcours représentatif ; documentez la procédure et qui peut la lancer.

Essayez le retour arrière hors production. Pour une application, vérifiez la compatibilité des migrations et des données avec la version restaurée.

Déclenchez chaque message avec des adresses de test chez plusieurs fournisseurs. Vérifiez l’expéditeur, la réception, les liens et le résultat depuis un autre appareil.

Vérifiez les enregistrements DNS demandés par votre fournisseur d’envoi. Simulez un échec et contrôlez sa remontée, les nouvelles tentatives prévues et l’absence de secrets dans les journaux.

Dans le bac à sable de votre prestataire, simulez réussite, refus, annulation et nouvelle tentative. Vérifiez la confirmation, les montants et l’état de la commande ou de l’abonnement.

Avec les outils de test du prestataire, vérifiez l’authenticité des notifications. Rejouez une notification et testez un ordre d’arrivée différent : le résultat métier doit rester cohérent.

Déclenchez une erreur contrôlée sans donnée réelle. Vérifiez sa présence dans le suivi et la réception de l’alerte prévue, avec un contexte utile et sans donnée sensible superflue.

Testez votre contrôle de disponibilité hors production. Vérifiez le destinataire des alertes, l’accès aux journaux et la procédure de diagnostic.

Listez les mesures retenues et inspectez les requêtes d’un parcours complet. Vérifiez les données envoyées, les prestataires et le comportement lorsque la mesure est refusée ou indisponible.

Inventoriez les traceurs et examinez les règles applicables à chacun. Dans une session vierge, testez avant le choix, après refus, après acceptation et après retrait. Si aucun traceur n’est utilisé, indiquez « Non applicable ».

Inventoriez les données, finalités, destinataires et durées. Vérifiez l’information près des formulaires, les coordonnées utiles et les modalités d’exercice des droits avec les recommandations de la CNIL.

Vérifiez les accès des équipes et prestataires, la suppression prévue et les durées appliquées aux données et aux journaux. Examinez les règles pertinentes pour votre activité et documentez les choix.