Un site web n'est pas un projet que l'on termine une fois pour toutes. Comme un véhicule, il demande un entretien régulier pour rester fiable, rapide et sûr. Les sites de PME sont régulièrement visés par des attaques automatisées qui exploitent des failles connues, sans viser une entreprise en particulier. Un site piraté peut afficher des contenus indésirables, rediriger vos visiteurs vers des sites frauduleux, envoyer du spam ou être signalé comme dangereux par les navigateurs. Voici les réflexes à adopter pour éviter ces mauvaises surprises.
Les mises à jour : la première ligne de défense
La plupart des sites reposent sur un système de gestion de contenu (CMS), complété par un thème et des extensions. Chacun de ces éléments reçoit régulièrement des mises à jour, dont beaucoup corrigent des failles de sécurité. Une fois une faille publiée, des robots parcourent internet à la recherche de sites non mis à jour.
Les bonnes pratiques :
- appliquer rapidement les mises à jour de sécurité du CMS, du thème et des extensions ;
- tester les mises à jour importantes sur une copie du site (environnement de préproduction) lorsque c'est possible ;
- supprimer les extensions et thèmes inutilisés, qui restent des portes d'entrée potentielles même désactivés ;
- éviter les extensions abandonnées par leur développeur ou d'origine douteuse ;
- vérifier que la version du langage serveur (par exemple PHP) proposée par l'hébergeur est encore maintenue.
Les sauvegardes : votre assurance
Même avec toutes les précautions, un incident peut survenir : piratage, mauvaise manipulation, mise à jour qui casse le site, problème chez l'hébergeur. La sauvegarde est alors votre filet de sécurité. Une stratégie de sauvegarde solide repose sur quelques principes :
- Sauvegarder automatiquement les fichiers et la base de données, à une fréquence adaptée au rythme de modification du site.
- Conserver plusieurs versions dans le temps, pour pouvoir revenir avant une infection passée inaperçue quelques jours.
- Stocker une copie ailleurs que sur le serveur du site lui-même.
- Tester la restauration de temps en temps : une sauvegarde jamais testée reste une hypothèse.
Protéger les accès
De nombreuses intrusions passent simplement par un mot de passe faible ou réutilisé. Pour sécuriser l'administration de votre site :
- utilisez des mots de passe longs et uniques, stockés dans un gestionnaire de mots de passe ;
- activez l'authentification à deux facteurs pour les comptes administrateurs, l'hébergement et le registrar du nom de domaine ;
- créez un compte nominatif par personne plutôt qu'un compte « admin » partagé, avec des droits limités au strict nécessaire ;
- supprimez les accès des anciens collaborateurs et prestataires ;
- limitez les tentatives de connexion et, si possible, l'accès à l'interface d'administration.
Les autres éléments de sécurité à vérifier
Quelques points complémentaires renforcent la protection de votre site et de vos visiteurs :
- le certificat HTTPS, aujourd'hui indispensable, avec un renouvellement automatique ;
- un hébergement sérieux, avec isolation des sites, protection de base contre les attaques et support réactif ;
- la protection des formulaires contre le spam, par des méthodes respectueuses de l'accessibilité ;
- une surveillance de disponibilité qui vous alerte si le site ne répond plus ;
- le contrôle des comptes et de la configuration DNS liés à votre nom de domaine.
La sécurité du site s'inscrit dans une démarche plus large de cybersécurité de l'entreprise. Nos solutions de sécurisation réseau couvrent également vos postes et votre infrastructure.
Organiser la maintenance dans la durée
La question essentielle est simple : qui s'occupe de votre site ? Trop souvent, le site a été réalisé par un prestataire ou un proche, puis plus personne n'en assure le suivi. Pour éviter cela :
- désignez clairement un responsable, interne ou externe ;
- conservez une documentation : hébergeur, registrar, accès, extensions utilisées, procédure de restauration ;
- planifiez une vérification régulière : mises à jour, sauvegardes, formulaires, liens cassés, vitesse ;
- prévoyez la marche à suivre en cas d'incident : qui contacter, comment restaurer, comment prévenir les clients si nécessaire.
En cas de piratage impliquant des données personnelles, pensez aussi à vos obligations au titre du RGPD, qui peuvent inclure une notification à l'Autorité de protection des données.
Un site bien entretenu est un site qui continue à travailler pour vous en toute discrétion. Pour en savoir plus sur l'accompagnement proposé autour de votre site, consultez notre page création de site web.
