Vérification de domaine
Analyser une URL est ouvert à tous ; publier une affirmation publique à son sujet ne l'est pas. La vérification de domaine est ce par quoi AllyProof établit que le site dont vous parlez est bien le vôtre.
Pourquoi la vérification existe
N'importe qui peut analyser n'importe quelle URL. C'est délibéré, et tous les outils comparables fonctionnent ainsi : WAVE, Lighthouse, PageSpeed et axe DevTools permettent tous de viser un domaine auquel vous n'avez jamais touché.
Publier est un acte différent. Un lien de partage, une déclaration d'accessibilité, un sceau intégrable ou un récapitulatif d'éléments issus de l'analyse automatisée publient des observations sur un site auprès du public. Sans contrôle de propriété, n'importe qui pourrait analyser un concurrent et publier « non conforme aux WCAG », ou apposer un sceau vert sur un site qu'il ne maîtrise pas.
La règle est donc étroite et absolue : l'analyse est ouverte, la publication est conditionnée.
Ce que la vérification débloque
Tant qu'un site n'est pas vérifié, il s'analyse normalement et ses résultats restent visibles par votre propre équipe. La vérification conditionne tout ce qui s'adresse à l'extérieur :
| Fonctionnalité | Vérification nécessaire |
|---|---|
| Analyse, listes de problèmes, scores, historique | Non |
| Liens de partage publics | Oui |
| Déclarations d'accessibilité | Oui |
| Sceau d'accessibilité intégrable | Oui |
| Récapitulatifs d'éléments issus de l'analyse automatisée | Oui |
| Module réglementaire et de conformité | Oui |
| Marchés déclarés, pays d'établissement, racines de langue | Oui |
L'administrateur AllyProof de votre organisation peut en outre exiger la vérification avant même qu'un site puisse être analysé. C'est un réglage valant pour toute l'organisation, désactivé par défaut ; le conditionnement de la publication, lui, n'est pas optionnel et ne peut pas être désactivé.
Choisir une méthode
Deux méthodes sont prises en charge. Elles sont équivalentes : retenez celle que vous pouvez déployer le plus vite, et vous pouvez passer de l'une à l'autre à tout moment avant la vérification.
La balise méta HTML est généralement plus rapide si vous pouvez déployer sur le site. Elle prend effet dès la mise en ligne de la page.
L'enregistrement DNS TXT est préférable lorsque vous préférez ne pas toucher au balisage du site, lorsque la page d'accueil est derrière une authentification ou une protection anti-robots, ou lorsqu'une équipe marketing gère le HTML et une équipe infrastructure le DNS. Une modification DNS peut mettre jusqu'à 48 heures à se propager.
Les deux se configurent dans Sites → (votre site) → Verification, qui affiche le jeton, l'extrait exact et un bouton Vérifier maintenant.
Méthode 1 - balise méta HTML
Ajoutez la balise indiquée par AllyProof dans le <head> de la page d'accueil de votre site :
<meta name="allyproof-verification" content="allyproof-verify-VOTRE-JETON">
Déployez la modification, puis cliquez sur Vérifier maintenant. AllyProof récupère la page d'accueil et y cherche le jeton. La vérification suit les redirections : une redirection de http vers https, ou du domaine racine vers www, ne pose aucun problème.
La balise doit être présente sur l'URL enregistrée pour le site. Si vous avez enregistré https://example.com mais que la balise ne figure que sur https://www.example.com sans redirection entre les deux, la vérification ne la trouvera pas.
Méthode 2 - enregistrement DNS TXT
Ajoutez un enregistrement TXT chez votre fournisseur DNS, sur le domaine racine du site :
| Champ | Valeur |
|---|---|
| Type | TXT |
| Hôte / Nom | @ (ou laissez vide - cela désigne le domaine racine) |
| Valeur | allyproof-verify-VOTRE-JETON |
Enregistrez, attendez la propagation, puis cliquez sur Vérifier maintenant. AllyProof résout les enregistrements TXT du domaine et cherche celui qui contient le jeton. Les autres enregistrements TXT - SPF, DKIM, etc. - ne sont pas affectés : la vérification les lit tous et ne retient que la correspondance avec le jeton ; rien n'a donc à être supprimé.
Le jeton
Chaque site reçoit son propre jeton, dérivé de son identifiant et d'un secret conservé côté serveur. Il est stable : le jeton affiché aujourd'hui est celui qui permettra la vérification demain ; vous pouvez donc sans risque l'inscrire dans un gabarit ou dans votre infrastructure gérée comme du code.
Parce qu'il est propre à chaque site, le jeton d'un site ne permettra pas d'en vérifier un autre. Copier une balise méta d'une propriété à une autre est la cause la plus fréquente d'une vérification qui n'aboutit pas.
En cas d'échec de la vérification
Balise méta : vérifiez que la modification est bien sur le site en production et non sur une version de préproduction, qu'elle se trouve dans <head>, et que la page renvoie du HTML à une requête simple. Une page d'accueil entièrement rendue par du JavaScript côté client ne fonctionnera pas : la vérification lit le HTML envoyé par le serveur et n'exécute jamais de script. Placez la balise dans le document rendu côté serveur, ou utilisez plutôt la méthode DNS.
DNS : la propagation est l'explication habituelle ; contrôlez avec dig TXT example.com +short (ou nslookup -type=TXT example.com) et cherchez le jeton dans la sortie. Si votre fournisseur ajoute automatiquement le domaine au champ hôte, saisir @ a pu créer un enregistrement sur example.com.example.com : laissez plutôt le champ hôte vide.
La vérification peut être relancée autant de fois que vous le souhaitez : une tentative infructueuse ne coûte rien et ne change rien.
Une fois vérifié
La vérification intervient lorsque vous cliquez sur Vérifier maintenant, et non selon une planification. Une fois un site vérifié, il le reste, et supprimer l'enregistrement ne révoquera pas silencieusement cette vérification.
Laissez tout de même l'enregistrement en place. Il est inerte dans les deux cas - un enregistrement TXT ne coûte rien et la balise méta est invisible pour les visiteurs - et c'est ce dont vous aurez besoin si le site doit être revérifié : après un changement d'URL enregistrée, un passage à une autre méthode de vérification, ou un nouvel ajout du site plus tard. Le supprimer transforme une future vérification en un clic en un déploiement.