La sécurité d’un site web de PME repose sur six pratiques de base : mettre à jour régulièrement le CMS et ses extensions, utiliser des mots de passe solides avec double authentification, sauvegarder automatiquement hors du serveur, maintenir un certificat HTTPS valide, filtrer le trafic avec un pare-feu applicatif et limiter les droits d’accès. Ces mesures, peu coûteuses, écartent une bonne part des attaques automatisées. Il reste à prévoir un contrôle minimal régulier et une procédure en cas de piratage.
Pourquoi un petit site est-il une cible ?
Beaucoup de dirigeants pensent que leur site n’intéresse pas les pirates. En réalité, la plupart des attaques ne visent personne en particulier : des robots parcourent le web à la recherche de failles connues, d’extensions non mises à jour ou de mots de passe faibles. Un site compromis peut servir à envoyer du spam, héberger des pages frauduleuses ou rediriger vos visiteurs vers des sites malveillants. Conséquences : site bloqué par Google, messagerie mise sur liste noire, données clients exposées et obligations de déclaration au titre du RGPD.
Quelles sont les bonnes pratiques de sécurité d’un site web ?
1. Faire les mises à jour
Le cœur du CMS, le thème et les extensions doivent être mis à jour dès qu’une version corrective sort. Les failles publiées sont exploitées rapidement. Supprimez aussi les extensions et thèmes désactivés : même inactifs, ils peuvent présenter une faille.
2. Sécuriser les accès
- Un mot de passe long et unique par compte, conservé dans un gestionnaire de mots de passe.
- La double authentification sur l’administration du site, l’hébergement, le registraire du nom de domaine et la messagerie.
- Pas de compte partagé : chaque intervenant a son propre identifiant.
- Une limitation des tentatives de connexion pour freiner les attaques par force brute.
3. Sauvegarder hors du serveur
Une sauvegarde stockée au même endroit que le site disparaît avec lui. Prévoyez des sauvegardes automatiques quotidiennes ou hebdomadaires selon la fréquence de vos modifications, conservées sur un espace externe, avec plusieurs versions. Testez une restauration au moins une fois par an. Notre article sur la stratégie de sauvegarde d’un site web détaille les bons réglages.
4. Maintenir le certificat HTTPS
Le certificat chiffre les échanges entre le visiteur et le site. La plupart des hébergeurs le fournissent gratuitement et le renouvellent automatiquement. Vérifiez simplement que toutes les pages redirigent vers la version en https et qu’aucun avertissement n’apparaît dans le navigateur.
5. Installer un pare-feu applicatif
Un pare-feu applicatif, ou WAF, filtre les requêtes suspectes avant qu’elles n’atteignent le site. Il peut être proposé par l’hébergeur, par un service comme Cloudflare ou par une extension de sécurité. Il bloque une grande partie des tentatives d’intrusion automatisées.
6. Limiter les droits
Chaque utilisateur ne doit avoir que les droits nécessaires : un rédacteur n’a pas besoin d’être administrateur. Supprimez les comptes des anciens salariés et prestataires dès la fin de leur mission. Côté hébergement, l’accès FTP ou SSH doit être réservé aux personnes qui en ont réellement l’usage.
Comment réaliser un audit de sécurité minimal ?
Sans être expert, vous pouvez vérifier les points suivants chaque trimestre :
- La liste des comptes administrateurs : chaque compte est-il connu et utile ?
- L’état des mises à jour du CMS, du thème et des extensions.
- La date de la dernière sauvegarde réussie et son lieu de stockage.
- L’activation de la double authentification sur les comptes sensibles.
- La validité du certificat HTTPS.
- Les alertes de la Search Console, rubrique Problèmes de sécurité.
- La version de PHP proposée par l’hébergeur : une version obsolète n’est plus corrigée.
Ce contrôle prend environ une heure. Pour un site qui traite des paiements ou des données sensibles, un audit plus approfondi par un spécialiste se justifie.
Que faire en cas de piratage ?
- Ne paniquez pas et ne supprimez rien dans la précipitation : les fichiers infectés aident à comprendre l’attaque.
- Changez immédiatement les mots de passe de l’administration, de l’hébergement, de la base de données et de la messagerie.
- Prévenez votre hébergeur, qui peut isoler le site et fournir des journaux de connexion.
- Restaurez une sauvegarde saine, antérieure à l’infection, puis appliquez toutes les mises à jour.
- Identifiez la faille pour qu’elle ne soit pas réexploitée : extension vulnérable, mot de passe compromis, compte oublié.
- Évaluez la fuite de données : si des données personnelles ont pu être exposées, le RGPD impose de notifier la CNIL dans les 72 heures et, selon le risque, d’informer les personnes concernées.
- Demandez un réexamen à Google dans la Search Console si le site a été signalé comme dangereux.
Le site gouvernemental cybermalveillance.gouv.fr propose une assistance et une liste de prestataires référencés pour les entreprises victimes.
Faut-il confier la sécurité à un prestataire ?
Si personne en interne n’a le temps de suivre les mises à jour et les sauvegardes, la délégation est souvent plus sûre. Un contrat de maintenance couvre généralement les mises à jour, la surveillance, les sauvegardes et l’intervention en cas d’incident. Les tarifs courants vont de quelques dizaines à quelques centaines d’euros par mois, selon le périmètre. Notre offre de maintenance de site web inclut ces opérations et un compte rendu régulier.
Questions fréquentes
Une extension de sécurité suffit-elle à protéger WordPress ?
Elle aide, notamment pour le pare-feu et la limitation des connexions, mais ne remplace pas les mises à jour, les sauvegardes et la gestion des accès. La sécurité vient de l’ensemble des pratiques. Une extension sur un site jamais mis à jour reste vulnérable.
Le certificat HTTPS suffit-il à rendre un site sûr ?
Non. Il protège les échanges entre le visiteur et le serveur, mais pas le site lui-même contre une intrusion. Un site piraté peut tout à fait afficher le cadenas. C’est une mesure nécessaire mais pas suffisante.
À quelle fréquence faut-il faire les mises à jour ?
Les mises à jour de sécurité doivent être appliquées dans les jours qui suivent leur publication. Un contrôle hebdomadaire est un bon rythme pour la plupart des sites. Faites une sauvegarde avant chaque mise à jour importante.
Un projet ? Découvrez notre accompagnement : Maintenance de site web, ou contactez-nous pour en parler.