Sécurité des sites internet
Comprendre les risques et s'en prémunir

Un site n'est pas trop petit pour être visé

La cybersécurité est souvent perçue comme un sujet réservé aux grandes entreprises. C'est une erreur. Les TPE et PME sont visées régulièrement, principalement par des attaques automatisées : scans massifs à la recherche de sites vulnérables, tentatives de connexion automatisées sur des pages d'administration, exploitation de failles publiées dans des extensions populaires.

Ce guide ne prétend pas transformer son lecteur en expert de sécurité. Il donne les connaissances pour évaluer sa situation, dialoguer avec ses prestataires et prendre des décisions informées sur la protection de sa présence en ligne.

Six situations fréquemment rencontrées par les petites structures

Ces six types de menaces reviennent régulièrement dans les guides de sensibilisation publiés par les organismes publics (Cybermalveillance.gouv.fr, CERT-FR / ANSSI). Les connaître aide à prioriser les protections à mettre en place.

Les fondamentaux de sécurité

Ces mesures couvrent les risques les plus courants pour un coût nul ou faible. Elles constituent le socle minimal pour un site professionnel.

Sécuriser un site WordPress

La sécurité d'un site WordPress dépend principalement de la rigueur de sa maintenance. Un WordPress bien maintenu (cœur, thèmes et extensions à jour, audit régulier des plugins installés, mots de passe robustes) n'est pas moins sécurisé que d'autres solutions. Un WordPress non maintenu devient vulnérable à des failles pour lesquelles des correctifs existent souvent depuis longtemps.

Les règles de sécurité WordPress à appliquer

Mises à jour systématiques : le cœur WordPress, les thèmes et les extensions doivent être mis à jour dès la disponibilité d'une nouvelle version. Les mises à jour automatiques peuvent être activées pour les correctifs de sécurité mineurs, avec une recette manuelle sur les évolutions majeures.

Audit des extensions installées : chaque extension ajoutée augmente la surface d'attaque. Désactivez et supprimez celles qui ne sont pas utilisées. Vérifiez que chaque extension active est maintenue (dernière mise à jour datant de moins de 6 mois, développeur identifiable, nombre d'installations significatif).

Limiter les tentatives de connexion : bloquer automatiquement une adresse IP après un nombre défini d'échecs de connexion. Plusieurs extensions de sécurité incluent cette fonction.

Désactiver l'éditeur de fichiers intégré : l'éditeur de thèmes et d'extensions accessible depuis l'administration WordPress permet de modifier directement du code. Désactivez-le via la constante DISALLOW_FILE_EDIT dans le fichier wp-config.php. Si un attaquant accède à l'administration, il ne pourra pas injecter du code directement.

Principe du moindre privilège appliqué aux utilisateurs : chaque compte WordPress doit avoir le rôle minimal nécessaire (Abonné, Contributeur, Auteur, Éditeur, Administrateur). Ne multipliez pas les comptes Administrateur.

Ce que l'hébergeur fait, ce qui reste à votre charge

La sécurité d'un site est une responsabilité partagée. Comprendre la répartition entre l'hébergeur et le propriétaire permet de poser les bonnes questions avant de signer un contrat, et d'éviter les angles morts qui apparaissent quand chacun pense que l'autre s'en occupe.

Sécurité et RGPD : deux aspects indissociables

Le Règlement Général sur la Protection des Données (RGPD) ne se résume pas au bandeau cookies. Il impose des obligations concrètes en matière de sécurité des données personnelles collectées via le site.

Ce que le RGPD impose techniquement

Minimisation des données : ne collecter que les données strictement nécessaires à l'activité. Un formulaire de contact n'a pas besoin du numéro de téléphone si l'entreprise répond uniquement par email.

Sécurisation des données : prendre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles collectées. En cas de violation de données, la CNIL doit être notifiée dans les 72 heures.

Durée de conservation limitée : définir une politique de conservation et supprimer les données obsolètes. Un contact entré dans le formulaire il y a cinq ans et qui n'a donné aucun signe depuis n'a pas à rester en base indéfiniment.

Droits des personnes : toute personne dont des données sont détenues peut demander leur accès, leur rectification ou leur suppression. Il faut être en mesure de répondre à ces demandes dans les délais prévus par le règlement.

Checklist : 10 actions pour sécuriser un site

• 01
  Vérifier l'activation du certificat HTTPS

  L'URL du site doit commencer par « https:// » avec le cadenas affiché. Si ce n'est pas le cas, contacter l'hébergeur immédiatement. Le renouvellement doit être automatique.

• 02
  Mettre à jour le CMS, les thèmes et les extensions

  Appliquer les mises à jour disponibles après une sauvegarde préalable. Cette action seule élimine un nombre significatif de vulnérabilités exploitables, en particulier celles liées à des extensions anciennes.

• 03
  Changer les mots de passe d'administration

  Un mot de passe unique d'au moins 12 signes pour chaque accès : administration du CMS, hébergeur, FTP, base de données, compte email associé. Un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass) facilite la gestion.

• 04
  Activer l'authentification à deux facteurs

  Sur l'administration du CMS et sur le compte de l'hébergeur. La plupart des hébergeurs professionnels proposent cette option. Sur WordPress, des extensions dédiées (Wordfence, WP 2FA) l'activent en quelques minutes.

• 05
  Supprimer les extensions et thèmes inutilisés

  Chaque extension inactive reste une surface d'attaque potentielle. Désactiver ne suffit pas : supprimer ce qui n'est pas utilisé.

• 06
  Installer et configurer une extension de sécurité

  Sur WordPress, Wordfence Security en version gratuite couvre les besoins essentiels : scan de fichiers, protection de la connexion, pare-feu applicatif. Configurer les alertes email pour être notifié en cas d'activité suspecte.

• 07
  Vérifier et tester les sauvegardes

  Confirmer que des sauvegardes automatiques existent et qu'elles sont stockées en dehors de l'espace d'hébergement principal. Pour les données les plus critiques, prévoir une copie hors ligne. Tester une restauration sur un environnement séparé pour vérifier que les sauvegardes sont exploitables.

• 08
  Configurer un monitoring de disponibilité

  UptimeRobot (gratuit) vérifie le site à intervalle régulier et alerte par email en cas de panne. Installation en quelques minutes, utile pour détecter un incident avant les visiteurs.

• 09
  Auditer les comptes utilisateurs

  Vérifier la liste des comptes ayant accès à l'administration. Supprimer ceux qui ne sont plus utilisés, notamment ceux de prestataires qui n'interviennent plus. Appliquer le principe du moindre privilège : chaque compte doit avoir le rôle minimal nécessaire.

• 10
  Vérifier la conformité RGPD de base

  Si le site collecte des données personnelles : politique de confidentialité à jour, bandeau cookies conforme aux recommandations de la CNIL, politique de conservation des données définie et appliquée.

Mon site a été piraté : que faire ?

• 1
  Mettre le site hors ligne ou en maintenance

  Depuis l'hébergeur ou via une extension de maintenance, empêcher l'accès au site pendant l'intervention. Cela protège les visiteurs et donne le temps d'agir sans aggraver la situation.
• 2
  Changer immédiatement tous les mots de passe

  Administration du CMS, hébergeur, FTP, base de données, email associé. Depuis un poste dont on est certain qu'il n'est pas compromis.
• 3
  Contacter l'hébergeur et une ressource d'assistance

  Signaler l'incident immédiatement à l'hébergeur, qui peut isoler l'espace, analyser les journaux d'accès et identifier le vecteur d'entrée. En parallèle, Cybermalveillance.gouv.fr propose un accompagnement gratuit et peut orienter vers des prestataires référencés si nécessaire.
• 4
  Nettoyer ou restaurer une sauvegarde saine

  Deux approches : scanner les fichiers avec un outil comme Wordfence pour identifier et supprimer ceux qui sont infectés, ou restaurer une sauvegarde antérieure à la compromission. La restauration est souvent plus sûre quand une sauvegarde récente et saine est disponible.
• 5
  Identifier et colmater la faille d'origine

  Analyser les journaux pour comprendre comment l'attaque s'est produite. Corriger la cause (extension obsolète, mot de passe compromis, configuration permissive) avant de remettre le site en ligne. Sans ce colmatage, la compromission peut se reproduire rapidement.
• 6
  Notifier si nécessaire

  Si des données personnelles de clients ont pu être compromises, la CNIL doit être notifiée dans les 72 heures via notifications.cnil.fr. Selon les cas, une information des personnes concernées est également requise.

Les faux-semblants de la sécurité

• 🔒
  Confondre HTTPS et sécurité globaleLe cadenas signifie que la communication entre le visiteur et le serveur est chiffrée. Cela ne garantit pas que le site est sécurisé dans son ensemble. Un site en HTTPS peut parfaitement être compromis si son CMS n'est pas à jour.
• 🤷
  « Mon site n'a rien d'intéressant pour un attaquant »Les attaques automatisées ne ciblent pas votre contenu : elles cherchent des ressources serveur pour envoyer du courrier indésirable, héberger des fichiers malveillants ou attaquer d'autres sites. La taille de l'entreprise n'est pas un critère de sélection.
• 🔄
  Reporter les mises à jour « pour ne rien casser »Ce réflexe est une des sources principales de compromission. Les correctifs de sécurité traitent des failles publiques : attendre revient à laisser ouverte une porte dont l'existence est connue. Une mise à jour testée sur un environnement de recette limite le risque de régression.
• 📦
  Croire que plus d'extensions = plus de sécuritéMultiplier les extensions de sécurité crée des conflits et alourdit le site. Une seule, bien configurée et maintenue, est plus efficace que plusieurs qui se marchent dessus.
• 💾
  Confondre sauvegarde et sécuritéUne sauvegarde ne protège pas contre une attaque : elle permet de récupérer après. Si la sauvegarde est stockée sur le même serveur que le site, ou si elle est accessible en écriture depuis le serveur, elle peut être chiffrée ou supprimée en même temps que le site lors d'une attaque.
• 👥
  Laisser des accès actifs à d'anciens prestatairesUn compte Administrateur créé pour un prestataire et jamais supprimé reste exploitable longtemps après la fin de la prestation. La revue régulière des comptes utilisateurs et la suppression des accès non utilisés font partie des bonnes pratiques de base.

Ce que les dirigeants demandent souvent

La sécurité se construit par couches, pas d'un seul coup

La sécurité absolue n'existe pas : ni pour les grandes entreprises, ni pour les petites. L'objectif est la résilience : être suffisamment protégé pour qu'un nombre significatif d'attaques automatisées échouent, et pouvoir se remettre rapidement de celles qui réussissent.

Commencer par les fondamentaux (HTTPS, mises à jour, mots de passe robustes, authentification à deux facteurs, sauvegardes testées et séparées) couvre une part importante des risques courants. Les mesures plus avancées (pare-feu applicatif, segmentation, monitoring proactif) viennent ensuite, selon l'exposition réelle de l'activité. La sécurité n'est pas un projet, c'est une pratique continue.