Audit de sécurité de votre LMS

Moodle, Drupal, Chamilo ou plateforme SaaS : votre LMS est embarqué dans vos portails, connecté à l'identité de toute l'entreprise et rarement mis à jour. Je l'audite et je le sécurise.

Je suis Kamel Laïmène, CTO on demand et fondateur de Coffee Beans. Je passe des audits de sécurité de LMS en continu.

Faire auditer mon LMS

Le LMS est souvent une faille

Tout le monde y a un compte, il exécute du contenu tiers (paquets SCORM, xAPI, H5P) et il passe rarement en tête des priorités de mise à jour. Les éditeurs publient pourtant des correctifs sérieux au fil de l'année : en 2026, Moodle a corrigé une exécution de code à distance via son plugin Google Drive, Drupal une exécution de code critique le 14 octobre (SA-CORE-2026-014), et la faille PHP php2shell a touché le moteur sur lequel tournent la plupart de ces plateformes.

J'ai détaillé les risques et les failles récentes dans mon article sur la sécurité des LMS.

Les trois angles morts que je vérifie en priorité

Ils reviennent dans la plupart des déploiements, que le LMS soit auto-hébergé ou en SaaS.

Le LMS embarqué en iframe
Intranet, SIRH, portail RH : frame-ancestors, cookies SameSite, échanges postMessage et paquets SCORM servis sur la même origine que la session.
Toute l'entreprise connectée en SSO
Configuration SAML/OIDC, provisioning depuis le SIRH, comptes qui survivent aux départs, rôles formateurs trop larges, MFA des administrateurs.
Une plateforme rarement mise à jour
Versions hors support (Moodle 4.1, Drupal 7), plugins abandonnés, PHP obsolète, instances oubliées chez un prestataire.
Intégrations et données
Clés d'API, connecteurs LTI, exports et sauvegardes, données personnelles des apprenants et obligations RGPD.

Ce que je propose

Pour un LMS auto-hébergé, j'audite le code déployé, l'hébergement et la configuration. Pour un SaaS (Cornerstone, Docebo, 360Learning…), l'audit porte sur la configuration, le SSO, les intégrations et le contrat, pas sur le code de l'éditeur.

  1. Audit de sécurité du LMS

    Inventaire des instances et des versions, revue des plugins, de l'iframe, du SSO, des rôles, des intégrations et des données.

    Livrable : Un rapport priorisé : ce qu'il faut corriger tout de suite, ce qui peut attendre, et pourquoi.

  2. Sécurisation et mise à niveau

    Correctifs, durcissement de la configuration, isolation des contenus SCORM, plan de migration des versions hors support.

    Livrable : Une plateforme à jour et une procédure de mise à jour documentée.

  3. Suivi dans la durée

    Veille sur les avis de sécurité de l'éditeur et du CERT-FR, revue après chaque avis critique ou changement de prestataire.

    Livrable : Des préconisations au fil de l'eau, avant que la dette ne coûte.

Retrouvez l'ensemble de mes services et mon parcours.

Vos questions sur l'audit de sécurité LMS

Le détail des failles et la checklist complète : la sécurité des LMS, ce qu'il faut auditer.

Mon LMS est en SaaS, un audit a-t-il un sens ?

Oui. L'éditeur gère le code et les correctifs, mais la configuration du SSO, les rôles administrateurs, les intégrations SIRH, les clés d'API et l'embarquement dans vos portails restent de votre responsabilité.

Quand faire auditer mon LMS ?

Avant de l'embarquer dans un nouveau portail ou de le brancher au SSO, à chaque changement de prestataire ou d'hébergeur, quand une version arrive en fin de support, et après un avis de sécurité critique si vous n'êtes pas certain d'avoir tout corrigé.

Quels LMS auditez-vous ?

Moodle, Drupal (y compris Opigno), Chamilo et les plateformes SaaS du marché comme Cornerstone, Docebo ou 360Learning.

Savez-vous quelle version de votre LMS tourne, et qui la met à jour ?

Si la réponse prend plus de cinq minutes, parlons-en.

Échanger avec Kamel Laïmène

Faits vérifiés le 22 octobre 2026 auprès des avis de Moodle, Drupal et du CERT-FR. Cette page ne décrit pas de missions clients.