Sécurité d’un site web de TPE : 7 gestes simples

La sécurité d’un site web de TPE se résume à sept habitudes : tenir les logiciels à jour, utiliser des mots de passe uniques dans un gestionnaire de mots de passe, activer la double authentification, conserver des sauvegardes hors de l’hébergement, limiter les accès au strict nécessaire, mettre en place SSL et les en-têtes de sécurité, et surveiller le site. Aucune ne demande une équipe de sécurité. Ensemble, elles bloquent la plupart des attaques du quotidien.

Pourquoi les sites de petites entreprises sont-ils aussi visés ?

Les attaquants choisissent rarement une cible par son nom. Des robots automatiques parcourent Internet à la recherche de faiblesses connues, comme une extension (plugin) obsolète ou une page de connexion qui accepte des essais de mots de passe à l’infini. Votre site est touché parce qu’il a une faiblesse, pas parce que c’est le vôtre.

C’est une bonne nouvelle. Vous n’avez pas à déjouer qui que ce soit. Il vous suffit de fermer les portes habituelles, et c’est exactement ce que font les sept mesures ci-dessous.

1. Comment tenir son site à jour ?

Les logiciels obsolètes sont la voie la plus courante pour compromettre un site. Quand l’éditeur d’une extension, d’un thème ou d’un CMS corrige une faille de sécurité, le correctif est public. Les robots cherchent alors les sites qui ne l’ont pas encore installé.

Mettez à jour votre CMS (WordPress, Joomla, Drupal), vos extensions, vos thèmes et la version de PHP utilisée par votre hébergement. Supprimez les extensions et thèmes que vous n’utilisez plus, car du code inactif peut aussi être exploité. Faites une sauvegarde avant de mettre à jour, et choisissez un moment calme pour pouvoir vérifier le site ensuite.

Si une mise à jour a déjà cassé quelque chose, voyez site cassé après mise à jour.

2. Pourquoi utiliser des mots de passe uniques et un gestionnaire de mots de passe ?

Quand un site perd sa base d’utilisateurs, les attaquants testent les mêmes couples d’adresse e-mail et de mot de passe sur d’autres services. Si vous réutilisez un mot de passe, une fuite ailleurs peut ouvrir votre administration.

Un gestionnaire de mots de passe crée et retient un mot de passe long et aléatoire pour chaque compte : hébergement, bureau d’enregistrement du domaine, CMS, e-mail, prestataire de paiement. Vous ne retenez qu’une seule phrase de passe solide. Privilégiez la longueur plutôt que la complexité, par exemple quatre ou cinq mots sans rapport entre eux.

3. Faut-il activer la double authentification ?

La double authentification (2FA) demande une seconde preuve en plus du mot de passe, le plus souvent un code issu d’une application d’authentification ou une clé physique. Un mot de passe volé ne suffit alors plus à ouvrir la porte.

Commencez par les comptes qui peuvent vous bloquer partout : votre e-mail, le bureau d’enregistrement de votre domaine et votre hébergement. Ajoutez ensuite la 2FA à chaque compte administrateur du CMS. Conservez les codes de récupération en lieu sûr, hors ligne.

4. Comment sauvegarder son site web ?

Une sauvegarde qui se trouve sur le même serveur que votre site disparaît avec lui quand le serveur tombe en panne ou est piraté. Une bonne sauvegarde suit la règle 3-2-1 : trois copies, sur deux types de supports, dont une hors site.

Une sauvegarde ne compte que si vous pouvez la restaurer. Une ou deux fois par an, vérifiez qu’une sauvegarde récente contient bien les fichiers et la base de données, et que quelqu’un sait la remettre en place. Avant tout changement important, faites-en une nouvelle.

5. Qui a besoin d’un accès à mon site ?

C’est le principe du moindre privilège. Un rédacteur indépendant doit pouvoir publier des articles, pas installer des extensions. L’ancien accès d’une agence que plus personne n’utilise est une porte ouverte qui n’attend qu’un mot de passe divulgué.

• Listez toutes les personnes qui ont un compte administrateur sur votre site, votre hébergement et votre domaine
• Donnez aux rédacteurs et aux éditeurs des rôles sans accès aux extensions ni aux thèmes
• Supprimez les comptes des anciens collaborateurs et des anciennes agences le jour même de leur départ
• N’utilisez jamais « admin » comme identifiant
• Utilisez un compte administrateur distinct pour l’administration et un compte normal pour le travail quotidien

Si des prestataires ont accès à des données personnelles, par exemple les demandes envoyées par formulaire ou les données clients d’une boutique, un contrat de sous-traitance au sens de l’article 28 du RGPD est en général nécessaire. Ce n’est pas un conseil juridique : faites préciser les détails par un juriste ou un spécialiste de la protection des données.

6. À quoi servent SSL et les en-têtes de sécurité ?

Un certificat SSL/TLS chiffre les échanges entre vos visiteurs et votre site et affiche le cadenas. Vérifiez qu’il se renouvelle automatiquement et que toutes les pages redirigent de http vers https. Un certificat expiré fait fuir les visiteurs avec un avertissement plein écran dans le navigateur.

Les en-têtes de sécurité sont de courtes instructions que votre serveur envoie avec chaque page. Quatre méritent d’être connus :

La Content-Security-Policy est la plus puissante et la plus facile à mal régler, car une version stricte peut bloquer des scripts dont vous avez besoin. Testez-la d’abord sur une copie du site.

7. Comment surveiller son site pour être le premier prévenu ?

Beaucoup de sites piratés le restent pendant des semaines parce que personne ne regarde. Mettez en place un contrôle de disponibilité qui vous prévient par e-mail ou par SMS quand le site tombe, des alertes d’expiration du certificat et du domaine, et une analyse régulière à la recherche de logiciels malveillants (malware). Jetez aussi un œil de temps en temps à la liste des utilisateurs de l’administration, à la recherche de comptes que vous ne reconnaissez pas.

Que faire en premier si vous n’avez qu’une heure ?

Procédez dans cet ordre : faire une sauvegarde, activer la 2FA pour l’e-mail, l’hébergement et l’administration du CMS, installer les mises à jour en attente, supprimer les extensions et utilisateurs inutilisés. Cette heure supprime les plus gros risques. Le reste peut suivre dans les semaines à venir.

Vous avez perdu l’accès à votre WordPress en chemin ? Notre guide impossible de se connecter à WordPress passe en revue les causes habituelles.

Comment pouvons-nous vous aider ?

Maintenir les sept points dans la durée demande une attention régulière, et cela passe facilement au second plan quand on dirige une entreprise. Avec un forfait de maintenance, nous prenons en charge la partie routinière : sauvegardes quotidiennes hors de votre hébergement, contrôles de disponibilité avec alertes, alertes d’expiration du SSL et du domaine, mises à jour sûres avec retour arrière, analyses de sécurité et rapport mensuel.

Si quelque chose ne va déjà plus, écrivez-nous. Le diagnostic est gratuit, vous recevez un prix fixe avant le début des travaux, et nous faisons une sauvegarde avant chaque modification.