Sécuriser son site : 8 réflexes qui évitent la majorité des problèmes

Un site piraté ne ressemble presque jamais à ce qu'on imagine. Pas de fond noir ni de message de rançon : la plupart du temps, le site continue de fonctionner normalement pendant que du contenu invisible est injecté dans vos pages, que vos visiteurs sont redirigés vers des sites douteux, ou que votre serveur envoie des courriels frauduleux à votre place.

Le résultat se voit ailleurs : votre référencement s'effondre, votre nom de domaine finit sur une liste noire, et vos courriels n'arrivent plus chez vos clients. Voici les huit réflexes qui écartent la grande majorité de ces situations.

1. HTTPS partout, sans exception

Le petit cadenas dans la barre d'adresse n'est plus une option. Sans lui, les navigateurs affichent un avertissement « Non sécurisé » qui fait fuir les visiteurs, et Google défavorise la page.

Concrètement, un certificat SSL chiffre les échanges entre le navigateur et votre serveur. C'est indispensable dès qu'un formulaire existe sur le site — donc à peu près toujours.

Deux détails qu'on oublie souvent :

• Le certificat doit se renouveler automatiquement. Un certificat expiré rend le site inaccessible, et ça arrive plus souvent qu'on ne le croit.
• Les anciennes adresses en http:// doivent rediriger vers https://, sinon vous vous retrouvez avec deux versions du même site aux yeux de Google.

2. Des mises à jour régulières, pas une fois par an

C'est la première cause de piratage, et de loin. La plupart des attaques n'ont rien de ciblé : des robots parcourent le web en testant des failles connues sur des sites qui n'ont pas été mis à jour.

Ce qui doit rester à jour :

• le CMS lui-même (WordPress, Drupal…) ;
• les extensions et thèmes, y compris ceux que vous n'utilisez plus ;
• la version du langage côté serveur (PHP notamment) ;
• les bibliothèques utilisées par le site.

Un point important : une extension inutilisée reste une porte d'entrée. Si vous ne vous en servez pas, il faut la désinstaller, pas seulement la désactiver.

Le piège classique : mettre à jour sans sauvegarde préalable, casser le site, et devoir tout reprendre. D'où le point suivant.

3. Des sauvegardes que vous avez déjà testées

Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde : c'est une hypothèse.

Ce qu'il faut vérifier :

• La fréquence doit correspondre à votre activité. Un site vitrine peut se contenter d'une sauvegarde hebdomadaire ; une boutique qui enregistre des commandes chaque jour a besoin d'une sauvegarde quotidienne.
• L'emplacement doit être externe au serveur. Si votre sauvegarde est stockée sur la même machine que le site, un incident sérieux emporte les deux.
• La restauration doit avoir été testée au moins une fois. C'est le seul moyen de savoir combien de temps prend un retour en arrière.

La bonne question à se poser : si le site disparaissait ce soir, combien de travail perdrais-je, et en combien de temps serait-il de nouveau en ligne ?

4. Des accès personnels, jamais partagés

Le compte « admin » avec un mot de passe partagé par cinq personnes est un classique — et un vrai risque.

Trois règles simples :

• Un compte par personne, avec son nom. Quand quelqu'un quitte l'entreprise ou que le prestataire termine sa mission, on supprime son accès sans perturber les autres.
• Le bon niveau de droits. Une personne qui rédige des articles n'a pas besoin d'un accès administrateur complet. Les CMS proposent des rôles pour ça : servez-vous en.
• L'authentification à deux facteurs sur les comptes administrateurs. C'est ce qui bloque une attaque même quand un mot de passe a fuité.

Sur les mots de passe, la recommandation actuelle est contre-intuitive : mieux vaut une phrase longue qu'un mot court truffé de symboles. Et un gestionnaire de mots de passe reste plus sûr qu'un carnet ou un fichier partagé.

5. Protéger les formulaires contre les robots

Dès qu'un formulaire est en ligne, il est trouvé par des robots. Sans protection, vous recevez des dizaines de messages publicitaires par jour — et surtout, vous finissez par ne plus lire votre boîte, donc par manquer les vraies demandes.

La solution moderne n'est plus le CAPTCHA illisible avec des lettres tordues. Des dispositifs invisibles vérifient en arrière-plan que la requête vient d'un humain, sans rien demander au visiteur. C'est ce que nous mettons en place : le formulaire reste simple pour vos clients, et le spam est arrêté avant d'arriver chez vous.

Deux précautions complémentaires : valider les données côté serveur (jamais uniquement dans le navigateur) et limiter le nombre d'envois depuis une même origine.

6. Ne jamais stocker ce qu'on n'a pas besoin de stocker

C'est le principe le plus efficace en matière de sécurité : les données que vous ne conservez pas ne peuvent pas fuir.

Deux exemples concrets :

• Les paiements. Aucun numéro de carte ne doit transiter par votre serveur. Un prestataire spécialisé s'en charge, et vous ne recevez qu'une confirmation. Cela vous retire une responsabilité considérable.
• Les mots de passe. Ils ne doivent jamais être stockés en clair, ni pouvoir être « retrouvés » — seulement réinitialisés.

Côté conformité, la Loi 25 au Québec et le RGPD en Europe vont dans le même sens : ne collectez que ce qui est nécessaire, expliquez pourquoi, et fixez une durée de conservation. Ce n'est pas seulement juridique, c'est aussi une bonne pratique de sécurité.

7. Surveiller, pour ne pas découvrir le problème trop tard

Le pire scénario n'est pas la panne : c'est la panne dont personne ne s'aperçoit. Un formulaire de contact cassé pendant trois semaines, c'est trois semaines de demandes perdues sans le savoir.

Ce qui mérite une surveillance automatique :

• la disponibilité du site, avec une alerte en cas d'indisponibilité ;
• la date d'expiration du certificat SSL et du nom de domaine ;
• le bon fonctionnement des formulaires ;
• les erreurs serveur, qui signalent souvent un problème avant qu'il devienne visible.

Un oubli fréquent et coûteux : le renouvellement du nom de domaine. Un domaine expiré, c'est un site hors ligne, des courriels qui ne fonctionnent plus, et parfois un domaine racheté par quelqu'un d'autre.

8. Savoir qui fait quoi

C'est le point le moins technique, et souvent le plus déterminant. Beaucoup de sites se dégradent non pas par manque de compétence, mais parce que personne n'a été désigné comme responsable.

Les questions à trancher noir sur blanc :

• Qui applique les mises à jour, et à quelle fréquence ?
• Qui vérifie que les sauvegardes fonctionnent ?
• Qui prévient-on en cas d'incident, et sous quel délai ?
• Où sont conservés les accès (domaine, hébergement, CMS) ?

Ce dernier point mérite une attention particulière : les accès à votre nom de domaine et à votre hébergement doivent être à votre nom, même si un prestataire les gère au quotidien. C'est votre garantie d'indépendance.

Comment nous traitons ce sujet

La sécurité n'est pas une option qu'on ajoute à la fin. Sur les sites que nous construisons, HTTPS, protection des formulaires, validation des données, en-têtes de sécurité et conformité Loi 25 / RGPD font partie du travail de base.

Pour la suite, nous proposons des forfaits de maintenance mensuels qui couvrent précisément les points 2, 3 et 7 : mises à jour, sauvegardes vérifiées, surveillance de sécurité et intervention en cas de problème. Vous avez également accès à un espace client où suivre l'état de vos projets et vos demandes.

Et si votre site existe déjà et que vous n'êtes pas sûr de son état, un audit permet de faire le point sans engagement : version du CMS, extensions vulnérables, présence de sauvegardes, configuration HTTPS.

En résumé

La sécurité d'un site tient rarement à un dispositif spectaculaire. Elle tient à huit habitudes régulières : chiffrer, mettre à jour, sauvegarder, cloisonner les accès, filtrer les formulaires, limiter les données conservées, surveiller, et désigner un responsable.

Un doute sur l'état de votre site ? Décrivez votre situation en quelques questions et nous vous répondons sous 48 h ouvrables : démarrer un projet. Pour une simple question, notre formulaire de contact suffit.