Audit technique du groupe Riddle Room

Le groupe2 sociétés, 3 dirigeants en commun, 4 sites

Riddle Room (Nice) et I LOCK U (Toulouse) sont la même société : Riddle Room SAS. Heyou Escape (Le Cannet) et Aenigma (Six-Fours-les-Plages) sont eux aussi la même société : A2S. Les deux sociétés ont des dirigeants en commun.

Une société liée mais fermée, pour mémoire : Sifriz & Spoloto (SIREN 820 374 783, Nice, créée en 2016, même activité), dirigée par les frères Steiner : probablement une première tentative avant Riddle Room/A2S.

Technique commune aux 4 sites

• WordPress sur les 4 sites ; Elementor comme page builder (3 sites sur le même thème gratuit « Customify », Aenigma sur un thème différent mais avec le même système de classes CSS personnalisées rrx-* que Riddle Room : signe d'un outillage ou d'une personne commune).
• Hébergeur o2switch (mutualisé) pour les 4 sites, déclaré dans chaque mention légale.
• Système de réservation 4escape, probablement partagé par tout le groupe.
• Assistant SMS par intelligence artificielle (OpenAI) mentionné à l'identique dans les CGV des 4 sites : certaines réponses par SMS sont préparées automatiquement et supervisées par l'équipe.
• Les visuels d'accueil de Riddle Room sont générés par DALL·E (fichiers nommés DALL·E-2025-02-25-... dans la médiathèque).
• Sur I LOCK U, les mentions légales créditent « Conception du site : Eric Amorim » - il semble gérer la technique lui-même plutôt que de passer par une agence.

C'est le site de départ : une copie a été faite sur riddleroom.picsou06.fr (non indexée, non publique) pour expérimenter les corrections avant de les proposer. Rien n'a été modifié sur le vrai riddleroom.fr : tout ce qui suit n'existe que sur la copie.

Les titres trop grands écrasaient le reste de la page (PC)

Des bandeaux sans aucune photo (Contact, Réservations...)

Des blocs de texte collés au bord

Les flèches de menu (FAQ, Scénarios) mettaient du temps à s'afficher

Autres corrections (sans captures avant/après)

Prix incohérents selon les pages

Une formule « longue » (~1h35) était annoncée sur l'accueil, la FAQ, Team Building et le mode complice, avec des prix différents d'une page à l'autre : alors que le système de réservation (4escape) ne propose en réalité que deux formules : classique et premium. Cette formule fantôme a été retirée de toutes les pages (sauf du mode complice, volontairement laissé de côté). Un script relit maintenant les vrais prix depuis le système de réservation et met à jour automatiquement le site, pour que ce décalage ne revienne plus.

Autres problèmes trouvés et corrigés sur la copie

• Liens internes qui passaient systématiquement par une redirection (/page/index.html → 301 → /page/).
• Deux pages strictement dupliquées (le règlement = copie des CGV ; une page « Pass Culture » = copie d'une autre page) : remplacées par des redirections.
• Fautes et incohérences de texte : accents manquants, « Home » resté en anglais dans le fil d'Ariane, date de création de la société contradictoire (2016 vs 2014 dans l'histoire), âge minimum absent sur une des versions du scénario.
• Aucun llms.txt, pas de données structurées LocalBusiness/FAQPage, robots.txt et plan du site pointant vers le mauvais domaine : tout ajouté/corrigé.
• Modules de réservation et de bons cadeaux sans aucun indicateur pendant leur chargement : une roue de chargement a été ajoutée.
• Un plugin de chatbot est installé et ses fichiers sont chargés sur presque toutes les pages, mais il est volontairement masqué par une règle CSS dédiée (ssu-b017-chatbot-off) : le bouton de chat n'apparaît donc jamais à un visiteur, mais le code continue d'être livré à chaque page : à garder ou à retirer franchement, selon ce qui était prévu.

Pas un site « partenaire » : juridiquement, c'est Riddle Room SAS elle-même qui édite ce site, comme un établissement secondaire. Les mentions légales créditent « Conception du site : Eric Amorim » en personne.

Ce qui a été repéré

• Bandeau de consentement cookies entièrement en anglais (« We value your privacy », « Reject All », « Accept All », « Customise ») sur un site destiné à des clients français à Toulouse. C'est le seul des 4 sites où le bouton « Refuser » est bien présent : mais dans la mauvaise langue.
• Deux outils de mesure d'audience actifs en même temps (Google Analytics 4 et Google Tag Manager) : pas forcément une erreur, mais à vérifier pour éviter un double comptage des visites.
• Une bulle de chat flottante (« LIVE », en bas à droite) peut se retrouver masquée par le bandeau cookies au premier chargement sur ordinateur.
• Aucun défaut de mise en page ni erreur JavaScript détecté sur la page d'accueil, en PC comme en mobile.

Audit de toutes les pages (7 pages)

• Une image ne se charge pas sur la page d'accueil (8157.webp).
• Une page de mentions légales en double, non reliée au site : /elementor-1002/ (ancienne URL automatique laissée par Elementor) affiche exactement le même contenu que la vraie page /cgv-cgu-mentions-legales/, sous une autre adresse, non reliée depuis aucun menu. Même genre d'oubli que le quiz « eric » trouvé sur Aenigma (voir plus bas) : du contenu publié et jamais nettoyé.
• Les vignettes qui semblaient "cassées" sur la page Photos et vidéos sont en fait un carrousel qui charge ses images seulement au moment où on les fait défiler : comportement normal, pas un bug.
• Aucun débordement d'écran détecté sur aucune page.

Ce qui a été repéré

• Bandeau cookies sans bouton « Refuser » de même niveau que « Tout accepter » : seuls « Réglages Cookies » et « Tout accepter » sont visibles au premier plan. Point de conformité RGPD/CNIL à vérifier : la CNIL demande qu'accepter et refuser soient aussi simples l'un que l'autre.
• Aucun robots.txt ni sitemap XML : contrairement à riddleroom.fr et i-lock-u.com (qui ont Yoast SEO), aucun plugin SEO actif n'a été détecté ici : désavantage pour le référencement.
• Même mention d'assistant SMS par IA et mêmes hébergeur/structure technique que le reste du groupe.
• Aucun défaut de mise en page ni erreur JavaScript détecté sur la page d'accueil, en PC comme en mobile.

Menu mobile : fonctionne, mais en double dans le code

Le bouton qui ouvre le menu (un élément <summary>, pas un bouton classique) existe en deux exemplaires dans le code de la page : une copie invisible (0×0 px) et la copie réellement affichée. Cliquer dessus ouvre bien le menu normalement (23 → 32 liens visibles) : ce n'est pas un bug pour le visiteur, mais c'est du code resté en trop.

Audit de toutes les pages (11 pages)

• 3 images de logos partenaires (Riddle Room, Aenigma, I LOCK U) sur la page d'accueil ne se chargent pas, fichiers manquants sur le serveur.
• La page CGV a montré une fois un débordement d'écran de 720 px, des images cassées et une erreur JavaScript (jQuery is not defined) : non reproduit sur 3 nouvelles visites, probablement un incident isolé, pas un vrai bug. À surveiller si ça revient.
• Toutes les autres pages (cadeau, contact, tarifs, FAQ, team building, réservation, scénario, « Avant de réserver » (non reliée depuis le plan du site, trouvée en parcourant les liens), autres centres) sont correctes.

Ce qui a été repéré

• Trois conteneurs Google Tag Manager différents chargés sur la même page (GTM-KXDXGZWR, GTM-P7525M4, GTM-TPPR4TG) : presque sûrement un oubli de nettoyage lors d'un changement de compte GTM. Cela ralentit le chargement et peut fausser les statistiques (événements comptés plusieurs fois). C'est le problème technique le plus net trouvé sur le site.
• Même défaut de bandeau cookies que Heyou Escape (pas de « Refuser » visible au même niveau que « Tout accepter »).
• Léger flou dans le texte : le bandeau d'accueil annonce « Toulon » alors que l'établissement est à Six-Fours-les-Plages (confirmé par les mentions légales) : ambigu pour un client qui chercherait vraiment Toulon centre.
• Le directeur de publication indiqué (Nathan Steiner) diffère des 3 autres sites (Eric Amorim) - cohérent avec son rôle de Directeur Général de Riddle Room SAS / co-gérant d'A2S, pas une anomalie.
• Aucun défaut de mise en page ni erreur JavaScript détecté sur la page d'accueil, en PC comme en mobile.

Le menu fonctionne, mais la page FAQ dépasse l'écran en mobile

Le même genre de défaut avait été trouvé sur Riddle Room. Il existe aussi ici : sur la page FAQ (/informations/), en mobile, la page dépasse la largeur de l'écran de 8 pixels - avant même d'ouvrir une seule question. La cause est le bandeau d'image tout en haut de page, pas l'accordéon de questions/réponses. Même famille de code personnalisé que sur Riddle Room (classes rrx-*), ce qui explique le même genre de bug.

Une page de test oubliée, en ligne et publique

Une page de quiz nommée /qsm_quiz/eric/ est accessible publiquement (code 200), avec pour seul titre « Eric - » et aucun contenu visible. Elle n'est reliée depuis aucun menu du site (le lien « QCM scénario » du menu pointe ailleurs) et figure quand même dans le plan du site (qsm_quiz-sitemap.xml), donc potentiellement indexable par Google. Ressemble à un test laissé en place après coup.

Ce site présente les 4 centres du groupe (Nice, Le Cannet, Toulon/Six-Fours, Toulouse) sur une page d'accueil commune, avec une page dédiée par ville. Les mentions légales confirment qu'il est édité par A2S, directeur de publication Eric Amorim. Son code contient un plugin maison nommé egh-core, même principe que safe-site-core vu ailleurs dans le groupe : signe supplémentaire d'un outillage commun.

Audit de toutes les pages (12 pages)

• Toutes les pages répondent correctement, chacune avec un titre propre : pas de souci de contenu dupliqué comme sur Aenigma.
• Plusieurs images liées à un widget d'avis Google (service externe « Trustindex ») ne se chargent pas, sur la page d'accueil et les 3 pages de présentation par ville : probablement un souci côté Trustindex ou un identifiant de widget mal configuré, pas un bug du site lui-même à corriger directement.
• Aucun débordement d'écran détecté sur aucune page.

Point de sécurité à vérifier en prioritéfaille critique PHP

Indépendamment de tout ce qui précède : une faille critique sur PHP est sortie le 21 octobre 2026 (« PHP2Shell », CVE-2026-109618 et CVE-2026-109619), notée 9,2/10, avec des attaques déjà observées. Elle permet de prendre le contrôle d'un serveur à distance sans identifiant. Les 4 sites du groupe tournant sous WordPress chez le même hébergeur (o2switch, mutualisé), c'est le point le plus urgent à faire vérifier :

• Vérifier la version de PHP active dans le cPanel o2switch de chaque site.
• Si elle est inférieure à 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 selon la branche : mettre à jour sans attendre.
• Même si la version semble récente, demander confirmation à o2switch que le correctif du 21 octobre est bien déployé sur l'hébergement mutualisé.

Méthode et limites

• Tout vient de pages publiques (code source, mentions légales) et du registre officiel français des entreprises (recherche-entreprises.api.gouv.fr, data.gouv.fr), consultés le 24/10/2026.
• Aucune connexion, aucun identifiant, aucune tentative d'exploitation technique sur un site réel - seul riddleroom.picsou06.fr, une copie hébergée séparément, a été modifié.
• L'audit détaillé page par page n'a été fait que sur Riddle Room. Pour les 3 autres sites, la page d'accueil et le menu principal ont été testés (PC et mobile, ouverture des menus incluse), ainsi que la page FAQ quand elle existe ; un audit plus complet page par page reste possible si utile.
• Deux établissements fermés d'A2S n'ont pas pu être identifiés (registres bloquant les requêtes automatiques). Aucun 5ᵉ site actif n'a été trouvé malgré une recherche dédiée.