Sécuriser son site après la mise en ligne : les 7 points que les PME oublient

Le site est en ligne, le lancement s'est bien passé, l'équipe passe à autre chose. Et c'est souvent là que les ennuis commencent. La sécurité d'un site web de PME ne se joue pas seulement pendant le développement : elle dépend surtout de ce qui se passe dans les mois et les années qui suivent la mise en ligne. Un plugin jamais mis à jour, un ancien prestataire qui a toujours un accès administrateur, une sauvegarde qui n'a jamais été testée… Ces oublis ne font pas de bruit, jusqu'au jour où le site affiche une page de casino ou où les données clients disparaissent.

Chez Furrball Development, nous reprenons régulièrement des sites conçus ailleurs, et ce sont presque toujours les mêmes points faibles qui reviennent. Voici les 7 que nous voyons le plus souvent, avec des actions concrètes pour chacun.

1. Les mises à jour : le point d'entrée numéro un des pirates

La grande majorité des piratages de petits sites ne vise pas votre entreprise en particulier. Des robots parcourent le web en permanence à la recherche de versions connues pour être vulnérables (un CMS, une extension, une bibliothèque JavaScript). Si votre site en utilise une, il sera trouvé, souvent en quelques jours.

Cela concerne :

• le CMS (WordPress, Drupal, Prestashop…) et ses extensions ou thèmes ;
• les dépendances d'un site ou d'une application sur mesure (les briques open source sur lesquelles le code repose) ;
• le serveur lui-même : version de PHP, de Node.js, du système d'exploitation.

Exemple vécu : un site vitrine d'artisan, sous WordPress, avec une extension de galerie photo abandonnée par son auteur depuis trois ans. Une faille connue a permis d'injecter des liens frauduleux dans toutes les pages. Résultat : site déréférencé par Google pendant plusieurs semaines.

Bonne pratique : planifier les mises à jour (mensuelles au minimum, immédiates pour les failles critiques), les tester d'abord sur un environnement de préproduction, et supprimer toute extension inutilisée. Moins de composants, c'est moins de surface d'attaque, et c'est aussi plus sobre.

2. Les sauvegardes : existent-elles vraiment, et sont-elles restaurables ?

« L'hébergeur fait des sauvegardes. » C'est la phrase que nous entendons le plus. Parfois c'est vrai, parfois elles sont conservées 24 heures seulement, parfois elles ne couvrent que les fichiers et pas la base de données. Et très souvent, personne n'a jamais essayé de restaurer quoi que ce soit.

Bonne pratique : appliquer la règle du 3-2-1.

• 3 copies des données (l'original et deux sauvegardes) ;
• sur 2 supports différents ;
• dont 1 hors du serveur principal (un autre hébergeur, un stockage externe).

Ajoutez une fréquence adaptée (quotidienne pour un site e-commerce ou un outil métier, hebdomadaire pour un site vitrine peu modifié) et, surtout, un test de restauration au moins deux fois par an. Une sauvegarde qu'on ne sait pas restaurer n'est pas une sauvegarde.

3. Les mots de passe et les accès : qui peut encore entrer ?

Un site vit, les équipes changent. Le stagiaire qui a créé les premières pages, l'agence précédente, le freelance qui a corrigé un bug il y a deux ans : tous ont peut-être encore un compte actif. Ajoutez à cela des mots de passe partagés par e-mail ou réutilisés d'un service à l'autre, et vous obtenez une porte grande ouverte.

Bonne pratique :

• faire un inventaire des comptes (back-office, hébergement, nom de domaine, base de données, accès FTP ou SSH) et supprimer ceux qui ne servent plus ;
• attribuer un compte nominatif par personne, avec le niveau de droits strictement nécessaire ;
• activer la double authentification (un code envoyé sur le téléphone en plus du mot de passe), en priorité sur l'hébergement et le registrar du nom de domaine ;
• utiliser un gestionnaire de mots de passe d'équipe plutôt qu'un tableur partagé.

4. Les formulaires : une porte d'entrée sous-estimée

Formulaire de contact, de devis, d'inscription à la newsletter, de dépôt de CV : chaque champ que vous ouvrez au public est une entrée dans votre système. Mal protégé, il peut servir à envoyer du spam en votre nom, à injecter du code malveillant dans votre base de données, ou à déposer des fichiers dangereux sur le serveur.

Bonne pratique :

• valider les données côté serveur, pas uniquement dans le navigateur (une vérification côté navigateur se contourne en quelques secondes) ;
• limiter strictement les types et la taille des fichiers téléversés ;
• mettre en place une protection anti-robots, de préférence discrète et accessible (un champ piège invisible ou une limitation du nombre d'envois plutôt qu'un captcha illisible qui pénalise les personnes en situation de handicap) ;
• ne collecter que les champs réellement utiles, ce qui nous amène au point suivant.

5. Le RGPD : la sécurité des données, c'est aussi une obligation légale

Le RGPD n'est pas seulement une affaire de bandeau cookies. Il impose de protéger les données personnelles que vous collectez, et de prévenir la CNIL en cas de fuite dans les 72 heures. Or beaucoup de PME ignorent ce que leur site stocke réellement : des années de messages de contact dans la base de données, des CV reçus en 2019, des exports clients oubliés dans un dossier accessible.

Bonne pratique :

• cartographier les données collectées par le site et l'endroit où elles sont stockées ;
• définir une durée de conservation et automatiser la suppression (par exemple, effacer les demandes de contact après 12 mois) ;
• vérifier que les outils tiers (statistiques, chat, CRM) sont conformes et déclarés dans votre politique de confidentialité ;
• s'assurer que le bandeau cookies bloque réellement les traceurs tant que l'internaute n'a pas consenti.

Moins de données stockées, c'est moins de risques en cas de fuite, et un site plus léger.

6. Le certificat HTTPS et le nom de domaine : les échéances qu'on oublie

Le petit cadenas dans la barre d'adresse indique que les échanges entre le visiteur et le site sont chiffrés. Il repose sur un certificat qui a une date d'expiration. Quand il expire, les navigateurs affichent un avertissement rouge qui fait fuir la quasi-totalité des visiteurs. Même chose, en pire, pour le nom de domaine : s'il n'est pas renouvelé, le site disparaît, et quelqu'un d'autre peut le racheter.

Bonne pratique :

• activer le renouvellement automatique du certificat (c'est le cas avec Let's Encrypt, gratuit et largement utilisé) et du nom de domaine ;
• vérifier que l'adresse e-mail de contact du registrar est toujours valide (et pas celle d'un ancien salarié) ;
• forcer la redirection de toutes les pages vers HTTPS et ajouter les en-têtes de sécurité de base, qui indiquent au navigateur comment se protéger contre certaines attaques.

7. La surveillance : savoir qu'il y a un problème avant vos clients

Dernier oubli, et non des moindres : personne ne regarde. Un site peut être piraté pendant des semaines sans que l'entreprise s'en aperçoive, parce que l'attaquant prend soin de ne rien casser de visible. C'est souvent un client, ou Google, qui donne l'alerte.

Bonne pratique :

• mettre en place un monitoring de disponibilité qui alerte en cas de site inaccessible ;
• inscrire le site à la Google Search Console, qui signale les contenus suspects ;
• conserver et consulter les journaux de connexion (les « logs ») pour repérer les tentatives répétées ;
• rédiger une courte procédure d'incident : qui prévenir, comment mettre le site hors ligne, où sont les sauvegardes, qui contacter côté hébergeur.

La maintenance, un investissement plutôt qu'une dépense

Sur un site vitrine, un contrat de maintenance représente souvent quelques dizaines à quelques centaines d'euros par mois selon la complexité. Une remise en état après piratage, elle, coûte facilement plusieurs jours de travail, sans compter la perte de visibilité, de chiffre d'affaires et de confiance. Pour une PME, la question n'est donc pas de savoir si la maintenance est utile, mais de définir clairement qui s'en occupe : votre équipe, votre prestataire, ou un partage des rôles écrit noir sur blanc.

En résumé

Sécuriser son site après la mise en ligne repose sur sept réflexes simples : tenir les composants à jour, sauvegarder et tester les restaurations, maîtriser les accès, protéger les formulaires, limiter et protéger les données personnelles, surveiller les échéances du certificat et du domaine, et garder un œil sur ce qui se passe. Aucun de ces points n'est très technique pris isolément. Le risque vient de leur oubli progressif.

Si vous ne savez pas où en est votre site sur ces sept points, ou si vous préparez une refonte et voulez intégrer la maintenance dès le départ, nous pouvons en parler. Un premier échange suffit souvent à identifier les deux ou trois actions prioritaires. N'hésitez pas à contacter l'équipe Furrball.