Sécurité des sites internet Comprendre les risques et s'en prémunir
Les TPE et PME sont régulièrement touchées par des cyberattaques automatisées. Ce guide présente les menaces courantes, les protections de base à mettre en place et la façon de réagir en cas d'incident.
Ce contenu est fourni à titre informatif et ne remplace pas un conseil professionnel adapté à votre situation. Vérifiez les sources officielles à jour avant toute décision.
Ce qu'il faut retenir de ce dossier
La cybersécurité n'est pas un sujet réservé aux grandes entreprises. Les TPE et PME sont régulièrement touchées par des cyberattaques, dont la plupart sont automatisées et indifférenciées : elles ne ciblent pas votre activité, elles cherchent les portes qui ne sont pas fermées. Un site non maintenu se retrouve mécaniquement exposé, quelle que soit sa taille ou son secteur.
Les fondamentaux à mettre en place couvrent les risques courants pour un coût faible ou nul : certificat HTTPS, mots de passe robustes et uniques, authentification à deux facteurs pour l'administration, sauvegardes automatiques testées et stockées hors du serveur principal, mises à jour systématiques du CMS et de ses extensions, pare‑feu applicatif, principe du moindre privilège sur les accès.
Pour WordPress, qui équipe plus de 43% des sites web, la sécurité dépend principalement de la rigueur de la maintenance. Selon le rapport annuel Wordfence 2024, 96% des vulnérabilités WordPress divulguées en 2024 concernent des extensions : un audit régulier des plugins installés est donc l'une des mesures les plus efficaces.
La sécurité est une responsabilité partagée entre l'hébergeur (infrastructure, réseau, isolation) et le propriétaire ou son prestataire d'infogérance (applicatif, mises à jour, configuration). Un hébergement infogéré prend en charge cette couche applicative dans un cadre contractuel ; un hébergement seul laisse ces responsabilités au client.
Le RGPD impose des obligations techniques concrètes en matière de sécurité des données personnelles, et une violation doit être notifiée à la CNIL dans les 72 heures. En cas d'incident avéré, Cybermalveillance.gouv.fr propose un accompagnement gratuit aux entreprises françaises.
Un site n'est pas trop petit pour être visé
La cybersécurité est souvent perçue comme un sujet réservé aux grandes entreprises. C'est une erreur. Les TPE et PME sont visées régulièrement, principalement par des attaques automatisées : scans massifs à la recherche de sites vulnérables, tentatives de connexion automatisées sur des pages d'administration, exploitation de failles publiées dans des extensions populaires.
Ce guide ne prétend pas transformer son lecteur en expert de sécurité. Il donne les connaissances pour évaluer sa situation, dialoguer avec ses prestataires et prendre des décisions informées sur la protection de sa présence en ligne.
Six situations fréquemment rencontrées par les petites structures
Ces six types de menaces reviennent régulièrement dans les guides de sensibilisation publiés par les organismes publics (Cybermalveillance.gouv.fr, CERT‑FR / ANSSI). Les connaître aide à prioriser les protections à mettre en place.
01L'injection et la prise de contrôle
Un attaquant exploite une faille dans le CMS ou dans une extension pour injecter du code malveillant sur le site. Conséquences possibles : contenu indésirable affiché, redirections vers des sites frauduleux, site utilisé comme relais pour attaquer d'autres cibles.
02Les attaques par force brute
Des robots testent automatiquement des milliers de combinaisons d'identifiants sur la page de connexion. Sans limitation du nombre de tentatives et sans authentification à deux facteurs, un mot de passe faible peut être cassé en peu de temps.
03Le phishing et l'usurpation d'identité
Votre nom de domaine ou votre identité visuelle est copiée pour créer de faux emails ou de faux sites qui trompent vos clients. Des mesures techniques (SPF, DKIM, DMARC) réduisent le risque d'usurpation de votre domaine email.
04Les rançongiciels (ransomwares)
Un logiciel malveillant chiffre les fichiers du site ou du serveur et réclame une rançon. Payer la rançon ne garantit ni le déchiffrement ni l'absence de nouvelle attaque : l'élément central de préparation reste des sauvegardes testées, séparées du système attaqué et idéalement hors ligne.
05Les attaques DDoS
Le site est submergé par un nombre de requêtes simultanées qui sature ses ressources et le rend inaccessible. Un hébergement avec protection anti‑DDoS et l'utilisation d'un CDN (par exemple Cloudflare) permettent d'absorber une partie de ces attaques.
06L'exploitation des extensions obsolètes
Les failles découvertes dans les extensions populaires sont publiées publiquement et leur exploitation est souvent automatisée. Une extension non mise à jour sur un site très courant devient une porte d'entrée connue de tous les attaquants.
Les fondamentaux de sécurité
Ces mesures couvrent les risques les plus courants pour un coût nul ou faible. Elles constituent le socle minimal pour un site professionnel.
🔒HTTPS et certificat SSL
Le HTTPS chiffre les échanges entre le visiteur et le serveur. Les navigateurs modernes signalent les pages HTTP comme non sécurisées, ce qui dissuade les visiteurs. Le certificat doit être inclus par l'hébergeur et renouvelé automatiquement. Let's Encrypt fournit des certificats gratuits techniquement équivalents aux certificats payants standards.
🔑Mots de passe robustes et uniques
Cybermalveillance.gouv.fr recommande un mot de passe d'au moins 12 signes combinant majuscules, minuscules, chiffres et caractères spéciaux. Un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass) évite d'avoir à les retenir et limite la tentation de les réutiliser.
📱Authentification à deux facteurs (2FA)
Une deuxième étape de vérification lors de la connexion à l'administration (code généré par une application comme Authy ou Google Authenticator, ou reçu par SMS). Même si le mot de passe est compromis, l'accès reste bloqué sans ce second facteur.
💾Sauvegardes automatiques et testées
Fréquence quotidienne, stockage sur un serveur distinct de l'hébergement principal, conservation d'au moins une semaine d'historique. Pour les données critiques, une copie hors ligne (déconnectée du réseau) protège contre les attaques qui visent aussi les sauvegardes accessibles. Testez la restauration au moins une fois par trimestre.
🛡️Pare‑feu applicatif (WAF)
Un WAF analyse les requêtes entrant sur le site et bloque celles qui correspondent à des schémas d'attaque connus. Cloudflare indique que son offre gratuite inclut SSL, CDN et protection DDoS pour les sites web, accessible sans compétence technique avancée.
👤Principe du moindre privilège
Chaque compte d'administration doit avoir le niveau d'accès minimal nécessaire à son rôle. Un rédacteur n'a pas besoin des droits d'administrateur système. Les comptes de prestataires qui n'interviennent plus doivent être supprimés. Ce principe, rappelé par Cybermalveillance.gouv.fr, limite les dégâts en cas de compromission d'un compte.
📡Monitoring et alertes
Être informé d'un incident avant ses propres visiteurs suppose un dispositif de surveillance. Des outils comme UptimeRobot (gratuit) alertent par email en cas d'indisponibilité. Un hébergement infogéré inclut généralement un monitoring proactif.
🔄Mises à jour systématiques
Les correctifs de sécurité publiés pour un CMS ou ses extensions répondent à des failles connues et documentées. Reporter une mise à jour revient à laisser ouverte une vulnérabilité dont les attaquants savent exploiter l'absence. Un processus régulier, testé sur un environnement de recette avant mise en production, évite la régression et maintient la protection.
Sécuriser un site WordPress
La sécurité d'un site WordPress dépend principalement de la rigueur de sa maintenance. Un WordPress bien maintenu (cœur, thèmes et extensions à jour, audit régulier des plugins installés, mots de passe robustes) n'est pas moins sécurisé que d'autres solutions. Un WordPress non maintenu devient vulnérable à des failles pour lesquelles des correctifs existent souvent depuis longtemps.
Les règles de sécurité WordPress à appliquer
Mises à jour systématiques : le cœur WordPress, les thèmes et les extensions doivent être mis à jour dès la disponibilité d'une nouvelle version. Les mises à jour automatiques peuvent être activées pour les correctifs de sécurité mineurs, avec une recette manuelle sur les évolutions majeures.
Audit des extensions installées : chaque extension ajoutée augmente la surface d'attaque. Désactivez et supprimez celles qui ne sont pas utilisées. Vérifiez que chaque extension active est maintenue (dernière mise à jour datant de moins de 6 mois, développeur identifiable, nombre d'installations significatif).
Limiter les tentatives de connexion : bloquer automatiquement une adresse IP après un nombre défini d'échecs de connexion. Plusieurs extensions de sécurité incluent cette fonction.
Désactiver l'éditeur de fichiers intégré : l'éditeur de thèmes et d'extensions accessible depuis l'administration WordPress permet de modifier directement du code. Désactivez‑le via la constante DISALLOW_FILE_EDIT dans le fichier wp‑config.php. Si un attaquant accède à l'administration, il ne pourra pas injecter du code directement.
Principe du moindre privilège appliqué aux utilisateurs : chaque compte WordPress doit avoir le rôle minimal nécessaire (Abonné, Contributeur, Auteur, Éditeur, Administrateur). Ne multipliez pas les comptes Administrateur.
| Extension de sécurité | Usage principal | Version gratuite | Fonctionnalités principales |
|---|---|---|---|
| Wordfence Security | Sécurité complète | Complète | WAF, scan de fichiers malveillants, protection de la connexion, alertes email |
| Solid Security (ex‑iThemes) | Durcissement WordPress | Fonctionnelle | Checklist de durcissement, détection des tentatives répétées, 2FA |
| UpdraftPlus | Sauvegardes | Fonctionnelle | Sauvegardes planifiées vers Google Drive, Dropbox, stockage distant |
Ce que l'hébergeur fait, ce qui reste à votre charge
La sécurité d'un site est une responsabilité partagée. Comprendre la répartition entre l'hébergeur et le propriétaire permet de poser les bonnes questions avant de signer un contrat, et d'éviter les angles morts qui apparaissent quand chacun pense que l'autre s'en occupe.
| Responsabilité | Hébergement mutualisé basique | Hébergement infogéré |
|---|---|---|
| Sécurité du serveur (système d'exploitation) | Hébergeur | Hébergeur (proactif) |
| Mises à jour PHP et composants système | Partiellement | Hébergeur (automatiques) |
| Certificat SSL | Inclus (Let's Encrypt) | Inclus et géré |
| Protection anti‑DDoS | Basique | Active et surveillée |
| Sauvegardes quotidiennes | Variable (souvent en option) | Incluses et testées |
| Monitoring et alertes | Rarement inclus | Proactif 24/7 |
| Mises à jour CMS et extensions | Votre responsabilité | Incluses (si option activée) |
| Intervention en cas d'incident | Sur ticket (délai variable) | Prioritaire avec SLA contractuel |
Sécurité et RGPD : deux aspects indissociables
Le Règlement Général sur la Protection des Données (RGPD) ne se résume pas au bandeau cookies. Il impose des obligations concrètes en matière de sécurité des données personnelles collectées via le site.
Ce que le RGPD impose techniquement
Minimisation des données : ne collecter que les données strictement nécessaires à l'activité. Un formulaire de contact n'a pas besoin du numéro de téléphone si l'entreprise répond uniquement par email.
Sécurisation des données : prendre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles collectées. En cas de violation de données, la CNIL doit être notifiée dans les 72 heures.
Durée de conservation limitée : définir une politique de conservation et supprimer les données obsolètes. Un contact entré dans le formulaire il y a cinq ans et qui n'a donné aucun signe depuis n'a pas à rester en base indéfiniment.
Droits des personnes : toute personne dont des données sont détenues peut demander leur accès, leur rectification ou leur suppression. Il faut être en mesure de répondre à ces demandes dans les délais prévus par le règlement.
Checklist : 10 actions pour sécuriser un site
- 01Vérifier l'activation du certificat HTTPS
L'URL du site doit commencer par « https :// » avec le cadenas affiché. Si ce n'est pas le cas, contacter l'hébergeur immédiatement. Le renouvellement doit être automatique.
- 02Mettre à jour le CMS, les thèmes et les extensions
Appliquer les mises à jour disponibles après une sauvegarde préalable. Cette action seule élimine un nombre significatif de vulnérabilités exploitables, en particulier celles liées à des extensions anciennes.
- 03Changer les mots de passe d'administration
Un mot de passe unique d'au moins 12 signes pour chaque accès : administration du CMS, hébergeur, FTP, base de données, compte email associé. Un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass) facilite la gestion.
- 04Activer l'authentification à deux facteurs
Sur l'administration du CMS et sur le compte de l'hébergeur. La plupart des hébergeurs professionnels proposent cette option. Sur WordPress, des extensions dédiées (Wordfence, WP 2FA) l'activent en quelques minutes.
- 05Supprimer les extensions et thèmes inutilisés
Chaque extension inactive reste une surface d'attaque potentielle. Désactiver ne suffit pas : supprimer ce qui n'est pas utilisé.
- 06Installer et configurer une extension de sécurité
Sur WordPress, Wordfence Security en version gratuite couvre les besoins essentiels : scan de fichiers, protection de la connexion, pare‑feu applicatif. Configurer les alertes email pour être notifié en cas d'activité suspecte.
- 07Vérifier et tester les sauvegardes
Confirmer que des sauvegardes automatiques existent et qu'elles sont stockées en dehors de l'espace d'hébergement principal. Pour les données les plus critiques, prévoir une copie hors ligne. Tester une restauration sur un environnement séparé pour vérifier que les sauvegardes sont exploitables.
- 08Configurer un monitoring de disponibilité
UptimeRobot (gratuit) vérifie le site à intervalle régulier et alerte par email en cas de panne. Installation en quelques minutes, utile pour détecter un incident avant les visiteurs.
- 09Auditer les comptes utilisateurs
Vérifier la liste des comptes ayant accès à l'administration. Supprimer ceux qui ne sont plus utilisés, notamment ceux de prestataires qui n'interviennent plus. Appliquer le principe du moindre privilège : chaque compte doit avoir le rôle minimal nécessaire.
- 10Vérifier la conformité RGPD de base
Si le site collecte des données personnelles : politique de confidentialité à jour, bandeau cookies conforme aux recommandations de la CNIL, politique de conservation des données définie et appliquée.
Mon site a été piraté : que faire ?
- 1Mettre le site hors ligne ou en maintenance
Depuis l'hébergeur ou via une extension de maintenance, empêcher l'accès au site pendant l'intervention. Cela protège les visiteurs et donne le temps d'agir sans aggraver la situation.
- 2Changer immédiatement tous les mots de passe
Administration du CMS, hébergeur, FTP, base de données, email associé. Depuis un poste dont on est certain qu'il n'est pas compromis.
- 3Contacter l'hébergeur et une ressource d'assistance
Signaler l'incident immédiatement à l'hébergeur, qui peut isoler l'espace, analyser les journaux d'accès et identifier le vecteur d'entrée. En parallèle, Cybermalveillance.gouv.fr propose un accompagnement gratuit et peut orienter vers des prestataires référencés si nécessaire.
- 4Nettoyer ou restaurer une sauvegarde saine
Deux approches : scanner les fichiers avec un outil comme Wordfence pour identifier et supprimer ceux qui sont infectés, ou restaurer une sauvegarde antérieure à la compromission. La restauration est souvent plus sûre quand une sauvegarde récente et saine est disponible.
- 5Identifier et colmater la faille d'origine
Analyser les journaux pour comprendre comment l'attaque s'est produite. Corriger la cause (extension obsolète, mot de passe compromis, configuration permissive) avant de remettre le site en ligne. Sans ce colmatage, la compromission peut se reproduire rapidement.
- 6Notifier si nécessaire
Si des données personnelles de clients ont pu être compromises, la CNIL doit être notifiée dans les 72 heures via notifications.cnil.fr. Selon les cas, une information des personnes concernées est également requise.
Les faux‑semblants de la sécurité
Ce que les lecteurs demandent souvent
Le HTTPS suffit‑il à sécuriser un site ?
Non. Le HTTPS chiffre les échanges entre le visiteur et le serveur : il protège donc les informations qui circulent, comme les identifiants saisis dans un formulaire de connexion. Il ne protège pas contre les vulnérabilités applicatives du site lui‑même. Un site en HTTPS peut être compromis si son CMS, son thème ou ses extensions présentent des failles non corrigées. HTTPS est un élément parmi d'autres, pas une protection globale.
Une sauvegarde stockée sur le même hébergement que le site est‑elle suffisante ?
Non, pas pour une sauvegarde de sécurité. Une sauvegarde sur le même serveur que le site peut être compromise au cours de la même attaque : si un attaquant prend le contrôle du serveur, il peut chiffrer ou supprimer les sauvegardes en même temps que les données. L'ANSSI et Cybermalveillance.gouv.fr recommandent un stockage sur un serveur distinct, et, pour les données critiques, une copie déconnectée (hors ligne) qu'un attaquant ne peut pas atteindre par le réseau.
Quels accès faut‑il supprimer quand un prestataire n'intervient plus ?
Tous les accès doivent être revus à la fin d'une prestation : compte utilisateur sur le CMS, compte sur l'hébergeur, accès FTP, accès SSH, accès à la base de données, clés d'API éventuellement communiquées, comptes tiers utilisés pour la prestation (Google Analytics, Search Console, outils de déploiement). Un compte oublié peut rester exploitable plusieurs années après la fin de la relation commerciale. La revue périodique des comptes utilisateurs fait partie des bonnes pratiques rappelées par Cybermalveillance.gouv.fr.
Mon hébergeur gère‑t‑il la sécurité à ma place ?
Partiellement. L'hébergeur est responsable de la sécurité de son infrastructure : serveurs, réseau, isolation entre clients. Le propriétaire du site (ou son prestataire d'infogérance) reste responsable de la sécurité applicative : mises à jour du CMS, qualité des mots de passe, configuration des extensions, gestion des accès. Seul un hébergement infogéré inclut la gestion applicative dans la prestation, avec un cadre contractuel clair sur les périmètres respectifs.
Comment savoir si mon site a déjà été compromis ?
Plusieurs signes peuvent alerter : avertissement de sécurité dans Google Search Console, signalement comme dangereux par les navigateurs, rapports de courrier indésirable provenant de votre domaine, redirections inattendues vers des sites tiers, apparition de nouveaux comptes d'administration que vous n'avez pas créés, baisse brutale du référencement. Sur WordPress, Wordfence propose un scan gratuit qui détecte les signatures de fichiers malveillants courantes.
Le certificat SSL gratuit (Let's Encrypt) est‑il aussi fiable qu'un certificat payant ?
Pour la protection des données en transit (le chiffrement HTTPS), oui, techniquement équivalent. La différence avec les certificats payants concerne principalement la validation étendue (EV), les garanties financières incluses par certains éditeurs, et le niveau de vérification de l'identité du demandeur. Pour un site vitrine de TPE, Let's Encrypt couvre le besoin sans coût supplémentaire.
Cloudflare est‑il utile pour un petit site ?
Cloudflare indique que son offre gratuite inclut SSL, CDN et protection DDoS pour les sites web. Le service agit comme un intermédiaire entre les visiteurs et le serveur d'origine : il peut filtrer une partie du trafic malveillant, accélérer le chargement des pages grâce à son CDN mondial, et masquer l'adresse IP réelle du serveur. La configuration se fait via les enregistrements DNS du nom de domaine et ne nécessite pas de compétence technique avancée.
Comment protéger les emails envoyés depuis mon domaine ?
Trois enregistrements DNS à configurer sur le domaine : SPF (liste les serveurs autorisés à envoyer des emails pour le domaine), DKIM (signature cryptographique des emails) et DMARC (politique appliquée en cas d'échec de vérification). Ces mécanismes permettent d'authentifier les emails envoyés au nom du domaine et réduisent le risque d'usurpation. La documentation de Google, Microsoft et Cybermalveillance.gouv.fr détaille la configuration.
Dois‑je souscrire une assurance cybersécurité ?
Pour un site vitrine simple, ce n'est pas le premier investissement à envisager : les fondamentaux (mises à jour, sauvegardes, mots de passe robustes, monitoring) apportent plus de valeur immédiate. En revanche, si le site traite des données de paiement, contient des données sensibles, ou représente une part significative de l'activité commerciale, une assurance cyber peut couvrir les frais de remédiation après incident, les pertes d'exploitation et les obligations légales. Les conditions et les montants varient fortement selon les contrats et la taille de l'entreprise : un courtier spécialisé ou un comparateur professionnel est le plus adapté pour obtenir des devis représentatifs.
La sécurité se construit par couches, pas d'un seul coup
🧭 Avant de prendre une décision, posez‑vous ces questions
- Mon CMS et mes extensions sont‑ils à jour aujourd'hui ?
- Ai‑je des sauvegardes automatiques testées, sur un stockage distinct de mon hébergement ?
- Qui d'autre que moi a accès à l'administration du site, et avec quels droits ?
- Mon hébergeur propose‑t‑il un monitoring et une intervention sous délai contractuel en cas d'incident ?
- Ma collecte de données personnelles est‑elle conforme au RGPD dans son périmètre et sa durée de conservation ?
- Sais‑je qui contacter et quoi faire si une compromission est détectée demain ?
Vous souhaitez aller plus loin ?
Si ce guide a soulevé des questions sur la sécurité de votre site ou de votre hébergement actuel, parlons‑en. Un diagnostic de 30 minutes peut suffire à identifier les priorités.
