Créer un site sécurisé : les protections indispensables

Un site sécurisé combine au minimum : le HTTPS (certificat SSL) pour chiffrer les échanges, des mises à jour régulières du CMS et de ses extensions, des sauvegardes automatiques récentes et testées, des mots de passe robustes avec authentification à deux facteurs pour l'administration, et une conformité RGPD sur la collecte de données. Ces mesures de base sont généralement incluses dans un hébergement ou un abonnement de qualité, sans surcoût distinct.

Le vrai problème : la sécurité n'est visible qu'après l'incident

Personne ne remarque un site bien sécurisé : il fonctionne, c'est tout. En revanche, un site piraté se remarque immédiatement, et souvent trop tard : page d'accueil remplacée, redirection vers un site suspect, formulaire de contact devenu relais de spam, ou pire, fuite de données clients. Le coût d'un incident (temps de remise en état, image, éventuelle obligation de déclaration à la CNIL en cas de fuite de données) dépasse largement le coût de la prévention.

Le piège classique : penser que "personne ne va s'attaquer à mon petit site". La réalité, c'est que la majorité des attaques sur les sites de petite taille sont automatisées, pas ciblées. Des robots scannent en permanence le web à la recherche de failles connues (plugin obsolète, mot de passe par défaut), sans distinction de la taille ou de la notoriété du site.

Les mesures de base, non négociables

1. HTTPS avec certificat SSL valide : chiffre la connexion entre le visiteur et le serveur. Gratuit avec la majorité des hébergeurs modernes (Let's Encrypt), donc sans excuse pour ne pas l'avoir.
2. Mises à jour régulières : CMS, thèmes, plugins, serveur. La grande majorité des piratages de sites WordPress exploitent des failles déjà connues et corrigées dans des versions non installées.
3. Sauvegardes automatiques et testées : une sauvegarde qui n'a jamais été restaurée pour vérification n'est pas une garantie. Idéalement quotidienne pour un site avec du contenu qui évolue, conservée sur un support distinct du serveur principal.
4. Mots de passe robustes et authentification à deux facteurs sur les accès d'administration (CMS, hébergement, nom de domaine).
5. Limitation des tentatives de connexion pour bloquer les attaques par force brute sur les pages de connexion administrateur.

RGPD : une obligation légale, pas une option de sécurité

Le RGPD encadre la collecte et le traitement des données personnelles (formulaires, cookies, newsletters). Ce n'est pas exactement une mesure de "sécurité technique" mais une obligation légale qui s'applique à tout site collectant des données, quelle que soit sa taille. Les points concrets à vérifier :

• Bandeau de consentement aux cookies non essentiels, avec un vrai choix de refus aussi simple que l'acceptation.
• Mentions légales et politique de confidentialité à jour, précisant qui traite les données et pourquoi.
• Durée de conservation des données définie et respectée.
• Formulaires ne collectant que les données strictement nécessaires.

Le non-respect du RGPD expose à des sanctions de la CNIL, qui peuvent être significatives pour les manquements les plus graves, même si dans la pratique, les contrôles ciblent en priorité les grandes structures ou les signalements. Cela reste un point de conformité à traiter dès la conception du site, pas après coup.

Le tableau des mesures selon le niveau de risque

Qui doit s'occuper de la sécurité dans la durée

C'est le point que beaucoup de professionnels sous-estiment au moment de la création du site. Un site livré "clé en main" sans suivi laisse la charge des mises à jour et de la surveillance à son propriétaire, qui n'a généralement ni le temps ni les compétences pour le faire régulièrement. Résultat fréquent : un CMS jamais mis à jour après la livraison, et une faille exploitée un ou deux ans plus tard.

Deux options réalistes pour éviter ce trou dans la raquette :

• Un contrat de maintenance dédié auprès d'un prestataire, avec mises à jour et sauvegardes régulières incluses.
• Un site en abonnement où l'hébergement, les mises à jour et la sécurité de base sont pris en charge en continu par le prestataire, sans facturation séparée à chaque intervention.

Les signaux d'alerte à surveiller

Un site compromis n'affiche pas toujours un symptôme évident immédiatement. Quelques signaux méritent une vérification rapide :

• Ralentissement soudain et inexpliqué du site, qui peut indiquer un script malveillant tournant en arrière-plan.
• Alerte de votre hébergeur signalant un envoi massif d'emails ou un trafic sortant anormal.
• Apparition de pages ou de liens que vous n'avez jamais créés dans les résultats de recherche Google (souvent visible via une recherche "site:votredomaine.fr").
• Avertissement du navigateur ("site non sécurisé" ou "site dangereux") au moment de la visite.
• Comptes d'administration créés sans que vous les reconnaissiez.

En cas de doute, la première action est de changer immédiatement tous les mots de passe d'administration, puis de faire vérifier le site par un professionnel avant de le remettre en service si un problème est confirmé.

Erreurs fréquentes qui affaiblissent la sécurité d'un site

• Garder l'identifiant d'administration par défaut ("admin"), qui facilite les attaques automatisées par force brute.
• Utiliser le même mot de passe pour l'hébergement, le nom de domaine et le CMS, ce qui transforme une seule fuite en compromission totale.
• Laisser un plugin ou un thème inactif installé sur le site : même désactivé, un composant obsolète reste une porte d'entrée potentielle tant qu'il n'est pas supprimé.
• Donner des droits d'administrateur complets à toute personne ayant besoin d'un accès ponctuel, plutôt que des droits limités à ce qui est réellement nécessaire.

Ce qu'il faut retenir

• Le HTTPS est nécessaire mais pas suffisant : mises à jour, sauvegardes et authentification forte complètent la protection de base.
• La majorité des attaques sur petits sites sont automatisées et exploitent des failles connues non corrigées, pas des attaques ciblées sophistiquées.
• La conformité RGPD (cookies, mentions légales, durée de conservation) est une obligation légale distincte de la sécurité technique, à traiter dès la conception.
• Une sauvegarde jamais testée n'est pas une garantie réelle de récupération en cas d'incident.
• La sécurité dans la durée demande un suivi continu (mises à jour, surveillance) : un site livré sans maintenance derrière est un site qui se dégrade en silence.

Questions fréquentes

Un petit site vitrine a-t-il vraiment besoin d'être sécurisé ? Oui, y compris un site sans e-commerce. La majorité des attaques automatisées sur les petits sites ne ciblent pas le contenu mais cherchent une faille exploitable pour envoyer du spam, miner de la cryptomonnaie ou rediriger le trafic. La taille du site n'est pas une protection.

Le HTTPS suffit-il à sécuriser un site ? Non. Le HTTPS chiffre uniquement la connexion entre le visiteur et le serveur, ce qui empêche l'interception des données en transit. Il ne protège pas contre une faille dans le code, un mot de passe faible ou un plugin obsolète. C'est une protection nécessaire mais pas suffisante.

Qui est responsable en cas de piratage : moi ou mon prestataire ? Cela dépend du contrat. Sur un site en maintenance ou en abonnement, le prestataire est généralement responsable des mises à jour techniques et de la sécurité du serveur. Sur un site livré sans suivi, la responsabilité de la maintenance retombe sur vous, même sans les compétences pour l'assurer.

Combien coûte la sécurisation d'un site professionnel ? Les bases (HTTPS, sauvegardes automatiques, mises à jour) sont généralement incluses dans un hébergement ou un abonnement correct, sans surcoût visible. Un audit de sécurité ponctuel pour un site existant coûte le plus souvent entre 300 et 1500 euros selon la complexité.

En résumé

La sécurité d'un site n'est pas un chantier ponctuel mais un suivi continu : HTTPS, mises à jour, sauvegardes testées et conformité RGPD. Si votre site actuel n'a plus été touché depuis sa mise en ligne, c'est le signal le plus fiable qu'un risque s'accumule. La formule site web par abonnement VeryAppi inclut l'hébergement en France et le suivi technique en continu, sans facturation séparée à chaque mise à jour de sécurité.