Sécuriser son site web : les bases pour une PME

L'idée que personne n'a intérêt à attaquer mon site est fausse. La majorité des intrusions ne visent pas une entreprise en particulier : des robots scannent l'ensemble du web à la recherche de portes ouvertes. Un site non mis à jour est une porte ouverte parmi des millions.

• Vol de données : formulaires de contact, comptes clients, courriels.
• Détournement : injection de liens et pages fantômes pour le référencement.
• Rançonnage : chiffrement des fichiers contre paiement.
• Réputation : message d'alerte affiché à vos visiteurs.

Le coût d'un incident n'est pas seulement technique. Un site inaccessible pendant une journée, c'est un chiffre d'affaires perdu, des demandes de devis non reçues et, surtout, une image entamée auprès de clients qui se demandent si vous saurez protéger leurs données.

1. HTTPS actif et redirection systématique depuis HTTP.
2. Mises à jour appliquées sous 7 jours, y compris les extensions.
3. Sauvegardes quotidiennes, conservées hors du serveur.
4. Mots de passe uniques et gestionnaire dédié.
5. Accès administrateur limité et protégé par double authentification.

Ces cinq points se vérifient en une heure. Si vous ne pouvez pas répondre précisément à l'un d'eux, considérez-le comme non traité : l'absence de preuve est, en sécurité, équivalente à une absence de protection.

Le cadenas est devenu un prérequis, pas un gage de sécurité. Un certificat valide chiffre la conversation entre le navigateur et le serveur ; il ne protège ni contre une faille du site, ni contre un formulaire mal codé.

• Certificat valide et renouvellement automatique.
• En-têtes de sécurité : HSTS, Content-Security-Policy, X-Frame-Options.
• Aucune ressource mixte : pas d'image ou de script chargé en HTTP.
• Formulaire protégé contre l'envoi automatisé.

Un certificat expiré produit exactement l'effet inverse de celui recherché : le navigateur affiche un avertissement rouge, et le visiteur repart. Surveillez la date d'expiration, ou laissez un outil le faire à votre place.

Aucun site n'est à l'abri d'une erreur humaine, d'une mise à jour ratée ou d'un incident serveur. La sauvegarde n'est utile qu'à trois conditions : elle existe, elle est récente, et elle a déjà été testée en restauration.

Une sauvegarde stockée sur le même serveur que le site disparaît avec lui. C'est l'erreur la plus fréquente et la plus coûteuse.

Testez la restauration sur un environnement séparé, jamais directement en production. Une sauvegarde non testée est une hypothèse, pas une protection.

• Le compte admin conservé par défaut, avec un mot de passe simple.
• Les extensions abandonnées, jamais mises à jour depuis deux ans.
• Le dossier de sauvegarde accessible publiquement.
• Les identifiants envoyés par courriel ou notés dans un fichier partagé.
• Le formulaire de contact sans limitation d'envoi.

La plupart de ces failles ne viennent pas d'un manque de budget, mais d'un manque de suivi. Un site corrigé une fois puis laissé sans surveillance redevient vulnérable en quelques mois, au rythme des failles publiées dans les modules qu'il utilise.

1. Isolez le site et sauvegardez son état actuel avant toute modification.
2. Changez tous les mots de passe, à commencer par l'administration et la base.
3. Restaurez une sauvegarde saine antérieure à l'intrusion.
4. Identifiez le point d'entrée avant de remettre le site en ligne.
5. Prévenez les personnes concernées si des données personnelles ont fuité.

Un site statique réduit considérablement la surface d'attaque : pas de base de données exposée, pas de panneau d'administration à compromettre, pas de mise à jour de modules à courir. C'est l'un des arguments de notre approche technique.

Enfin, documentez l'incident : date, cause identifiée, actions menées, mesures prises pour éviter la récidive. Ce compte rendu vous servira lors d'un éventuel litige, et il oblige à traiter la cause plutôt que le symptôme.

Mon site est-il obligé d'être en HTTPS ?

Oui, en pratique. Les navigateurs signalent les sites HTTP comme non sécurisés et Google les pénalise. Le certificat est gratuit et automatique chez tout hébergeur sérieux.

À quelle fréquence faut-il sauvegarder ?

Quotidiennement pour un site qui reçoit des formulaires ou des commandes. Pour un site vitrine, une sauvegarde hebdomadaire suffit, à condition qu'elle soit externalisée.

Un petit site sans données clients risque-t-il vraiment quelque chose ?

Oui. Il peut être détourné pour héberger des contenus illicites ou envoyer du spam, ce qui dégrade son référencement et peut entraîner son blocage par les hébergeurs.