Sécurité d’un site de petite entreprise, les six gestes utiles

En bref. La plupart des piratages de petits sites ne sont pas ciblés : des robots parcourent le web à la recherche de logiciels non mis à jour et de mots de passe faibles. Six gestes suffisent à s’en protéger : mettre à jour, choisir des mots de passe solides, activer la double authentification, sauvegarder, passer en HTTPS et limiter les accès.

Pourquoi un petit site est visé

Personne n’en veut à votre entreprise en particulier. Votre site intéresse les pirates pour ce qu’il permet : envoyer du courrier indésirable, rediriger vos visiteurs vers des sites frauduleux, héberger de fausses pages. Les attaques sont automatiques et touchent d’abord les sites négligés.

Les six gestes

1. Mettre à jour. Sur un CMS, le logiciel, le thème et chaque extension reçoivent des correctifs. Un site qui n’a pas été mis à jour depuis deux ans est une porte ouverte.

2. Des mots de passe solides et différents. Longs, uniques pour chaque service, conservés dans un gestionnaire de mots de passe.

3. La double authentification sur les comptes sensibles : le nom de domaine, l’hébergement, la messagerie, l’administration du site.

4. Des sauvegardes régulières, gardées ailleurs que sur le serveur du site, et que l’on sait restaurer.

5. Le HTTPS, sur toutes les pages. Voir la mention « Non sécurisé ».

6. Peu d’accès. Supprimez les comptes des anciens salariés et prestataires. Chacun n’a que les droits dont il a besoin.

Les comptes à protéger en priorité

• Le nom de domaine : qui le contrôle contrôle votre site et vos e-⁠mails.
• La messagerie : c’est par elle que l’on réinitialise tous les autres mots de passe.
• La fiche Google Business Profile.

Les signes d’un site piraté

• Des pages ou des liens que vous n’avez pas créés.
• Un avertissement du navigateur ou de Google.
• Une redirection vers un autre site, surtout sur téléphone.
• Des e-⁠mails envoyés à votre insu.
• Une alerte dans Google Search Console.

Que faire si cela arrive

1. Changer tous les mots de passe, en commençant par la messagerie.
2. Prévenir votre hébergeur ou votre prestataire.
3. Restaurer une sauvegarde saine, puis mettre à jour.
4. Demander un réexamen dans Search Console si Google affiche un avertissement.

Réduire le risque à la source

Moins il y a de logiciels, moins il y a de failles. Un site statique, sans base de données ni extension, offre très peu de prise aux attaques automatisées.

Les données de vos clients

Ne collectez que ce dont vous avez besoin, et ne laissez pas traîner d’anciennes exportations de fichiers clients sur le serveur.

Tous nos sites sont livrés en HTTPS, sur une base sans extension à entretenir. Voir nos formules.