La sécurité d’un site internet de TPE tient en trois gestes que vous pouvez vérifier vous-même : fermer les portes d’entrée connues, sauvegarder selon la règle 3-2-1 et tester la restauration avant d’en avoir besoin. Le reste, pare-feu, configuration du serveur, audit, se délègue ; ces trois gestes-là se prouvent.
Une sauvegarde annoncée par un hébergeur reste une promesse tant que personne ne l’a restaurée. Un compte administrateur oublié reste ouvert tant que personne n’en a fait la liste. C’est l’esprit de cet article : la sécurité qui se prouve, pas celle qu’on suppose. Il s’appuie sur Cybermalveillance.gouv.fr, l’ANSSI et deux références traduites de l’anglais, Patchstack et l’OWASP. Aucune ne promet un site inviolable, et nous non plus : l’objectif est de réduire le risque et de pouvoir repartir vite.
Comment sécuriser son site internet ?
Cybermalveillance.gouv.fr, le site gouvernemental d’assistance aux victimes, résume la sécurisation d’un site en dix bonnes pratiques (page mise à jour le 06/05/2026), « à adopter ou faire appliquer par votre prestataire » : sécuriser le serveur, le configurer au juste besoin, mettre à jour sans tarder, des mots de passe solides avec double authentification, des sauvegardes testées, le HTTPS, le moindre privilège, la protection du nom de domaine, la vigilance sur les extensions et la surveillance de l’activité.
Les deux premiers relèvent de l’hébergeur ; les huit autres se vérifient sans toucher au code. Voici ce qu’un artisan, un libéral ou un dirigeant de PME peut contrôler lui-même.
| Conseil de Cybermalveillance | Ce que vous pouvez contrôler vous-même |
|---|---|
| 1. Sécuriser le serveur | Demander par écrit à l’hébergeur quelles protections sont en place : pare-feu, pare-feu applicatif, anti-DDoS. |
| 2. Configurer au juste besoin | Demander quels services sont ouverts, et pourquoi. |
| 3. Mettre à jour sans tarder | Aucune mise à jour en attente : CMS, thème, extensions. |
| 4. Mots de passe solides | Aucun identifiant par défaut ; double authentification activée si possible. |
| 5. Sauvegardes, données et configuration | Savoir où est la dernière sauvegarde et quand elle a été restaurée. |
| 6. HTTPS | Toutes les pages en https, sans alerte du navigateur. |
| 7. Moindre privilège | Un compte nominatif par personne, aucun compte d’ancien prestataire. |
| 8. Nom de domaine | Date d’expiration connue ; pour un .fr, .FR Lock et DNSSEC, recommandés par l’AFNIC. |
| 9. Extensions | Rien d’inutilisé, rien d’abandonné, rien qui ne vienne pas du site officiel. |
| 10. Surveillance | Un œil régulier sur les connexions à l’administration et les fichiers déposés. |
La page ajoute un conseil hors liste : faire auditer régulièrement le site par des prestataires spécialisés. C’est le seul qui ne se contrôle pas seul. Pour le reste, si vous déléguez, demandez la preuve de chaque point, pas une assurance orale.
Par où les sites se font-ils pirater le plus souvent ?
Par trois portes, selon la fiche défiguration de Cybermalveillance.gouv.fr (mise à jour le 10/07/2026) : un mot de passe d’administration trop simple ou laissé par défaut, un défaut de configuration du site, une faille de sécurité souvent connue et non corrigée. La fiche les présente comme les cas « les plus fréquemment rencontrés », sans les chiffrer. Aucune ne demande un pirate de génie, et toutes se ferment avant l’incident.
Sur la troisième, la page de Cybermalveillance consacrée à la sécurisation des sites est explicite : « Une grande majorité d’attaques de sites Internet est rendue possible par l’exploitation de failles de sécurité », failles « pourtant régulièrement corrigées par les éditeurs ».
Pour ranger ces causes, les professionnels utilisent le Top 10 de l’OWASP, la liste de référence des risques de sécurité des applications web. Sa version 2025 (traduit de l’anglais) place en tête le contrôle d’accès défaillant, dont l’OWASP a trouvé une forme dans 100 % des applications testées, et fait passer la mauvaise configuration de la 5e place en 2021 à la 2e.
| Porte d’entrée | Catégorie OWASP Top 10:2025 | Sur votre site |
|---|---|---|
| Trop de comptes, trop de droits | A01, contrôle d’accès défaillant | Un compte volé ou trop puissant fait plus que son rôle ne l’exige. |
| Défaut de configuration | A02, mauvaise configuration de sécurité | Un service ouvert sans raison. |
| Faille connue non corrigée | A03, défaillances de la chaîne d’approvisionnement logicielle, qui englobe les composants obsolètes | Une extension ou un thème pas à jour. |
| Mot de passe faible ou par défaut | A07, défaillances d’authentification | Un identifiant « admin » et un mot de passe court. |
Patchstack, spécialiste de la sécurité de WordPress, classe sur les sites qu’il protège le contrôle d’accès défaillant, au sens large qu’il lui donne, comme la catégorie la plus exploitée parmi les attaques bloquées en 2025 (traduit de l’anglais).
L’inventaire des comptes administrateurs
Premier contrôle à froid : listez les comptes du site, de l’hébergeur et du bureau d’enregistrement du domaine. Pour chacun, trois questions : qui est derrière ? A-t-il encore besoin de ces droits ? Est-il protégé par une double authentification ? Cybermalveillance demande des comptes individuels plutôt que génériques, « en particulier pour les utilisateurs privilégiés (administrateurs) ». Une nuance : ne conservez pas « de manière accessible » la liste nominative des administrateurs. L’inventaire se fait, puis se range.
Pourquoi les extensions sont-elles le point faible d’un site WordPress ?
Parce que c’est là que naissent presque toutes les failles. Selon le rapport annuel de Patchstack (données 2025, traduit de l’anglais), 11 334 nouvelles failles ont été recensées dans l’écosystème WordPress en 2025 : 91 % dans les extensions, 9 % dans les thèmes, et seulement 6 dans le cœur de WordPress, toutes de faible priorité. Surtout, 46 % n’avaient reçu aucun correctif de leur développeur au moment de leur publication.
Ce dernier chiffre change la stratégie : mettre à jour reste indispensable, mais près d’une faille sur deux est publique avant que son correctif existe. La protection la plus sûre contre une extension vulnérable reste de ne pas l’avoir.
Le même rapport plaide aussi pour la vitesse. Pour les failles les plus exploitées, le délai médian pondéré entre leur publication et la première tentative d’exploitation observée était de 5 heures. Et parmi les dix failles les plus visées dans les attaques bloquées par Patchstack en 2025, quatre seulement dataient de l’année : les anciennes servent encore, sur les sites qui ne sont pas à jour.
L’inventaire des extensions en quatre questions
- Sert-elle encore ? Sinon, supprimez-la plutôt que de la désactiver : une extension désactivée laisse ses fichiers sur le serveur.
- Est-elle maintenue ? Si sa dernière mise à jour « remonte à plusieurs années », écrit Cybermalveillance, l’extension n’est plus maintenue par son développeur.
- D’où vient-elle ? Uniquement du site officiel de l’éditeur de votre CMS.
- Une mise à jour attend-elle ? Appliquez-la après une sauvegarde, puis vérifiez le site.
Comment sauvegarder son site avec la règle 3-2-1 ?
En gardant trois copies distinctes de vos données. L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, le recommande dans son guide sur la sauvegarde des systèmes d’information (ANSSI-BP-100, version 1.1 du 27/11/2025, R11) : « 3 copies distinctes des données, c’est-à-dire les données en production et 2 sauvegardes stockées sur des supports différents, dont 1 hors ligne ». Sa recommandation R12 juge cette copie hors ligne « indispensable ».
Cette copie peut être moins fréquente que les sauvegardes en ligne et, à défaut, l’ANSSI admet une copie hors site en ligne « sous certaines conditions ». Hors ligne a un sens précis : « une sauvegarde sur un support déconnecté de tout SI », c’est-à-dire de tout système d’information. Le guide explique pourquoi : « Il est fréquent qu’un attaquant tente de chiffrer, d’effacer ou de rendre indisponible l’infrastructure de sauvegarde ». Cybermalveillance conseille pour la même raison de déconnecter le support après usage.
| Les 3 copies de l’ANSSI | Pour un site de TPE | Ce qu’il faut vérifier |
|---|---|---|
| Les données en production | Le site en ligne, chez l’hébergeur | C’est la copie que les deux autres protègent. |
| Une sauvegarde sur un autre support | La sauvegarde automatique de l’hébergeur ou d’un service dédié | Qu’elle soit hors du serveur du site, et jusqu’à quelle date elle remonte. |
| Une sauvegarde hors ligne | Une copie sur un disque externe, débranché après usage | Qu’elle existe, qu’elle soit datée et rangée hors réseau. |
Que faut-il sauvegarder ?
Pas seulement les pages. Cybermalveillance demande des sauvegardes régulières « de votre site web, de sa configuration et de ses bases de données », et l’ANSSI (R25) cite les configurations des applications. Pour un site :
- les fichiers : thème, extensions, images et documents envoyés ;
- la base de données : textes, comptes, messages, réglages ;
- la configuration : fichier de configuration du CMS, réglages du serveur, enregistrements DNS du domaine ;
- la liste des versions du CMS et des extensions, pour tout réinstaller à l’identique.
Comment vérifier qu’une sauvegarde fonctionne avant d’en avoir besoin ?
En la restaurant pour de vrai, à froid. L’ANSSI l’écrit dans sa recommandation R22 : « Les sauvegardes doivent être testées régulièrement. Une procédure de restauration du SI doit être rédigée et régulièrement mise en œuvre. » Cybermalveillance.gouv.fr consacre la section 8 de sa fiche sur les sauvegardes (mise à jour le 14/09/2026) au même test : « Parfois, le processus de sauvegarde ne s’effectue pas correctement. »
Cybermalveillance donne un exemple : copier la sauvegarde dans le système original. Pour un site en production, nous préférons la restauration à blanc : la sauvegarde est restaurée sur un environnement à part, sans toucher au site en ligne.
La restauration à blanc, pas à pas
- Prenez la copie hors ligne, celle qui servira si le serveur et le compte chez l’hébergeur sont touchés.
- Restaurez-la ailleurs : sous-domaine de test protégé par mot de passe, ou copie locale.
- Contrôlez ce qu’un client verrait : pages, images, formulaire de contact, connexion à l’administration, dernier contenu publié.
- Chronométrez. Ce temps est votre durée d’interruption réelle. L’ANSSI demande que la stratégie de sauvegarde tienne compte de la durée maximale d’interruption admissible et de la perte de données maximale admissible : le test dit si les vôtres sont tenues.
- Écrivez ce qui a coincé dans la procédure de restauration.
- Supprimez l’environnement de test, sinon c’est une copie de plus à protéger.
Entre deux tests, l’ANSSI (R21) demande de repérer tout comportement inhabituel, dont un « volume de données ou de fichiers incohérent ». Une sauvegarde qui pèse soudain beaucoup moins que la précédente mérite une question.
Une sauvegarde peut-elle réinstaller le pirate après une attaque ?
Oui. L’ANSSI le dit dans sa recommandation R27 : « En cas de restauration après un incident de sécurité, les sauvegardes peuvent contenir des implants de l’attaquant (ex. : code malveillant, porte dérobée). » Un pirate entré trois semaines avant d’être repéré peut se trouver dans toutes les sauvegardes faites depuis. Restaurer la plus récente, c’est parfois le réinstaller avec soin.
L’ANSSI demande donc de s’assurer de « l’innocuité des éléments restaurés ». Pour un site :
- réinstaller le CMS, le thème et les extensions depuis leurs sources officielles, pas depuis la sauvegarde ;
- ne reprendre que les contenus, base de données et fichiers envoyés, après une analyse antivirus ;
- contrôler la configuration avant la remise en ligne ;
- remonter assez loin : l’ANSSI demande un historique de sauvegardes cohérent, c’est lui qui permet de retrouver une version antérieure à l’intrusion ;
- fermer la porte d’entrée d’abord : corriger les failles et changer tous les mots de passe avant la remise en ligne, sinon la même faille sert deux fois.
Cybermalveillance publie le témoignage d’un webmaster indépendant dont les clients, des collectivités, des artisans et des professions libérales, ont vu leurs sites défigurés : « Je n’avais pas fait les mises à jour de ces sites depuis pas mal de temps. J’ai fait les mises à jour et restauré les sauvegardes pour rétablir la situation. J’ai quand même perdu des clients suite à cet incident. » Un cas, pas une statistique ; il dit surtout ce que coûte un retard de mises à jour.
Que faire si son site est piraté ?
Suivre, dans l’ordre, les neuf étapes de la fiche réflexe de Cybermalveillance.gouv.fr sur la défiguration : isoler, conserver les preuves, copier, identifier les données touchées, trouver la porte d’entrée, porter plainte, corriger et changer les mots de passe, prévenir l’hébergeur, se faire aider. L’ordre compte : tout effacer pour restaurer aussitôt, c’est détruire les preuves.
- Débranchez si possible d’Internet la machine touchée ; pour un site hébergé, cela passe par l’hébergeur.
- Conservez les preuves : journaux (logs) du pare-feu et des serveurs, photos de l’écran au besoin.
- Réalisez une copie complète de la machine attaquée et de sa mémoire.
- Identifiez les éléments sensibles copiés ou détruits ; c’est ici que se pose la question de la CNIL.
- Identifiez le vecteur : comment l’attaquant est entré.
- Déposez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République.
- Corrigez les failles et changez tous les mots de passe avant la remise en ligne.
- Contactez votre hébergeur.
- Faites-vous assister au besoin par des professionnels qualifiés.
Le plan d’urgence s’écrit avant l’incident
Le jour où le site affiche la page d’un pirate, personne ne cherche sereinement son numéro client chez l’hébergeur. Une page suffit, rangée hors du site et de la messagerie :
- qui appeler : hébergeur, prestataire, et qui décide de porter plainte ;
- où sont les accès, dans un gestionnaire de mots de passe plutôt qu’en clair ;
- où est la copie hors ligne, avec la procédure de restauration déjà testée ;
- quelles données personnelles le site détient.
Faut-il prévenir la CNIL quand son site est piraté ?
Oui, si le piratage touche des données personnelles et crée un risque pour la vie privée des personnes concernées : la fiche défiguration de Cybermalveillance.gouv.fr indique qu’il faut alors notifier l’incident à la CNIL. Elle précise : « La CNIL considère comme une violation de données personnelles un cas de défiguration qui entraînerait une fuite, une altération et/ou une indisponibilité des données. »
La question n’est donc pas seulement de savoir si des données ont été volées : modifiées ou rendues indisponibles, elles comptent aussi. Sachez avant l’incident ce que votre site conserve : messages du formulaire de contact s’ils sont stockés, comptes clients, rendez-vous, inscrits à une lettre d’information. Et protégez la copie hors ligne comme le site : Cybermalveillance rappelle que les sauvegardes relèvent des mêmes régimes juridiques que les données d’origine.
Vous voulez une sécurité qui se prouve ? C’est le travail d’une maintenance de site web. Quel que soit votre prestataire, demandez-lui la date de son dernier test de restauration. Le pack Essentiel, un site de 5 pages dessinées sur mesure à 990 € en une fois, comprend l’hébergement, le nom de domaine, la maintenance et la sécurité : le détail est sur notre offre. Notre méthode décrit ce que nous prenons en charge dès la mise en ligne, et chaque site que nous livrons, pour une entreprise de Brest comme pour une entreprise de Dijon, part en ligne hébergé et suivi.
