Sécurité d'un site : les bases à exiger

Pourquoi un petit site serait-il une cible ?

Parce que la plupart des attaques ne visent personne en particulier. Des robots parcourent internet en permanence à la recherche de failles connues, de mots de passe faibles ou de logiciels non mis à jour, et ils frappent partout où la porte est ouverte.

Un site de plombier ou de cabinet comptable n'intéresse pas un pirate pour son contenu. Il l'intéresse comme ressource : pour y cacher des pages de spam, rediriger les visiteurs vers des arnaques, envoyer des e-mails frauduleux ou héberger un faux formulaire bancaire. Le propriétaire le découvre souvent tard, quand Google affiche un avertissement ou quand un client signale un comportement étrange.

Les conséquences sont concrètes : site inaccessible, réputation abîmée, temps perdu à tout nettoyer, et parfois fuite des données de vos clients. La bonne nouvelle est que les attaques automatisées échouent face à des protections de base bien en place.

Le HTTPS est-il vraiment indispensable ?

Oui. Le HTTPS chiffre les échanges entre le navigateur du visiteur et votre site, ce qui empêche un tiers de lire ou de modifier ce qui transite, par exemple les informations saisies dans un formulaire. Les navigateurs signalent aujourd'hui clairement les sites qui n'en ont pas comme non sécurisés.

Le HTTPS repose sur un certificat, un petit fichier qui prouve l'identité du site. Il existe des certificats gratuits et reconnus, et la plupart des hébergeurs sérieux les installent et les renouvellent automatiquement. Il n'y a donc plus de raison valable de s'en passer.

Vérifiez deux détails : que toutes les pages s'ouvrent bien en HTTPS, et que la version sans HTTPS redirige automatiquement vers la version sécurisée. Un certificat qui expire sans être renouvelé affiche un message d'alerte effrayant aux visiteurs.

Qui doit s'occuper des mises à jour ?

Quelqu'un doit en être clairement responsable, et c'est à préciser par écrit. Les failles de sécurité sont découvertes en continu dans tous les logiciels, et les éditeurs publient des correctifs. Un site qui ne les applique pas reste vulnérable à des attaques connues et automatisées.

Le volume de travail dépend beaucoup de la technologie du site :

• Un site sous CMS (WordPress, Joomla, Prestashop) demande des mises à jour régulières du logiciel, du thème et de chaque extension. Moins il y a d'extensions, moins il y a de risques.
• Un site généré à l'avance, comme beaucoup de sites Next.js, n'expose pas de logiciel à mettre à jour sur le serveur pour chaque visite. Les dépendances du code doivent tout de même être revues de temps en temps.
• Un créateur de site en ligne (Wix, Squarespace) gère lui-même les mises à jour de sa plateforme : c'est l'un de ses avantages.

Avant de signer, demandez à votre prestataire ce qui est inclus, pendant combien de temps, et ce qui se passe ensuite. Un site livré sans personne pour le suivre est un site qui vieillit mal. La comparaison WordPress ou Next.js revient en détail sur cette différence d'entretien.

Comment protéger les accès à votre site ?

La majorité des piratages de petits sites passent par un compte mal protégé, pas par une attaque sophistiquée. Mot de passe réutilisé, mot de passe trop simple, ancien prestataire qui a gardé ses accès : ce sont les portes les plus souvent ouvertes.

Quelques règles couvrent l'essentiel :

1. Un mot de passe long et unique par service, stocké dans un gestionnaire de mots de passe, un logiciel qui les retient et les génère pour vous.
2. La double authentification partout où elle existe : en plus du mot de passe, un code temporaire envoyé sur votre téléphone ou généré par une application. Un mot de passe volé ne suffit plus à entrer.
3. Un compte par personne, jamais d'identifiants partagés. On sait ainsi qui a fait quoi, et on peut retirer un accès sans changer tous les mots de passe.
4. Le ménage régulier : supprimez les comptes des anciens salariés, stagiaires ou prestataires dès la fin de leur mission.

Ces règles valent pour tous les comptes liés au site : administration du site, hébergement, bureau d'enregistrement du nom de domaine, messagerie. Le compte du nom de domaine est particulièrement sensible, car il contrôle à la fois le site et les e-mails.

Un scénario fréquent illustre le risque : un site a été réalisé il y a quelques années par un indépendant qui a depuis changé de métier. Personne ne sait plus qui détient l'accès administrateur, et le compte d'hébergement est lié à son adresse e-mail personnelle. Le jour où il faut intervenir en urgence, on perd des jours à récupérer les accès. Tenez donc à jour une liste simple de vos comptes, de leur titulaire et de l'adresse de récupération associée, rangée dans votre gestionnaire de mots de passe.

Que faut-il vérifier sur les formulaires ?

Les formulaires sont la principale porte d'entrée des données extérieures sur votre site, donc un point d'attention. Un formulaire mal protégé peut servir à envoyer du spam en masse, à surcharger votre boîte de réception ou, dans les cas graves, à injecter du code malveillant.

Un formulaire correct vérifie ce qu'on y saisit (un e-mail doit ressembler à un e-mail, un champ ne doit pas contenir du code), limite le nombre d'envois possibles depuis une même source et filtre les robots. Ce filtrage peut se faire de façon invisible pour les visiteurs, sans leur imposer de casse-tête. L'article sur le formulaire de contact aborde aussi le côté pratique.

Si le formulaire recueille des données personnelles, elles doivent être transmises de façon chiffrée et conservées de façon sécurisée, ce qui rejoint vos obligations liées au RGPD.

Pourquoi les sauvegardes font-elles partie de la sécurité ?

Parce qu'aucune protection n'est parfaite. Le jour où un problème survient, qu'il s'agisse d'un piratage, d'une erreur de manipulation ou d'une mise à jour ratée, c'est la sauvegarde qui permet de revenir en arrière rapidement.

Une sauvegarde utile est récente, stockée ailleurs que sur le serveur du site, et surtout testée : une sauvegarde que personne n'a jamais essayé de restaurer n'offre qu'une fausse assurance. Le sujet mérite à lui seul un article, sauvegarde de site : qui s'en occupe.

Comment OSEOO aborde-t-il la sécurité des sites ?

Nos sites sont construits avec Next.js et hébergés sur Vercel, avec le HTTPS inclus. Cette approche limite le nombre de pièces exposées : pas d'extensions tierces à surveiller ni d'interface d'administration publique par défaut. Le code, le nom de domaine et les accès appartiennent au client, qui garde donc la main sur ses comptes.

Nos formules incluent une période de support (un mois pour l'Express, six mois pour le Standard), et les projets sur mesure sont suivis par abonnement. Le détail figure sur la page tarifs.