Comment protéger son site web des attaques et pannes
Un site web professionnel se protège par trois réflexes simples : maintenir le logiciel à jour, limiter les accès à ce qui est strictement nécessaire, et disposer d'une sauvegarde récente et testée. Ces trois points couvrent l'immense majorité des piratages et pannes constatés sur des sites de TPE. Le reste relève du choix d'un hébergeur sérieux et d'une surveillance minimale.
Pourquoi un site pro reste une cible, même sans trafic massif
Un avocat, un artisan ou un cabinet d'expertise-comptable pense rarement être une cible pour un pirate. C'est une erreur de raisonnement. La majorité des attaques sur les petits sites ne visent pas une entreprise en particulier : des robots parcourent en continu des millions d'adresses à la recherche de failles connues sur WordPress, Joomla, PrestaShop ou leurs extensions. Un site avec un plugin non mis à jour depuis deux ans est repéré en quelques heures, pas en quelques mois.
Les conséquences dépassent largement l'image écornée. Un site compromis peut être utilisé pour envoyer du spam, héberger des pages de phishing, ou rediriger discrètement une partie du trafic vers un autre site sans que le propriétaire s'en aperçoive pendant des semaines. Google finit par blacklister l'adresse, ce qui fait chuter le référencement du jour au lendemain et peut prendre plusieurs semaines à réparer.
Maintenir le logiciel à jour, en priorité
La cause numéro un de piratage sur les sites en gestion autonome (WordPress notamment) est un CMS, un thème ou un plugin obsolète. Les failles de sécurité corrigées dans une mise à jour deviennent publiques dès sa publication : c'est une information précieuse pour un attaquant qui sait alors exactement quoi chercher sur les sites qui n'ont pas encore appliqué le correctif.
Trois règles simples :
- Mettre à jour le cœur du CMS dès qu'une version de sécurité sort, sans attendre.
- Désinstaller les plugins et thèmes non utilisés plutôt que de les laisser inactifs — un plugin désactivé mais présent reste une porte d'entrée.
- Limiter le nombre d'extensions au strict nécessaire : chaque plugin ajouté est une surface d'attaque supplémentaire.
Sur un site développé sur mesure sans CMS grand public, ce risque est réduit mais pas nul : les dépendances logicielles (bibliothèques, frameworks) doivent aussi être suivies et mises à jour régulièrement.
Contrôler les accès et les mots de passe
Un mot de passe faible ou réutilisé sur l'espace d'administration reste une porte grande ouverte. Les attaques par force brute testent des milliers de combinaisons automatiquement, souvent avec des identifiants ayant fuité lors d'un autre piratage sans rapport avec votre site.
Bonnes pratiques à appliquer sans exception :
- Un mot de passe unique et long (16 caractères minimum) pour chaque accès : hébergeur, FTP, base de données, CMS.
- L'authentification à deux facteurs sur l'espace d'administration dès qu'elle est disponible.
- Un compte administrateur nominatif par personne, jamais de compte générique partagé entre plusieurs collaborateurs.
- La suppression immédiate des accès d'un ancien prestataire ou salarié qui n'intervient plus sur le site.
Sécuriser la connexion et le serveur
Le certificat SSL (le cadenas dans la barre d'adresse, l'URL en https) chiffre les échanges entre le visiteur et le serveur. Il est aujourd'hui un prérequis, pas une option : sans lui, les navigateurs affichent un avertissement "non sécurisé" qui fait fuir un visiteur en une seconde, et Google pénalise légèrement le référencement des sites qui n'en disposent pas. La quasi-totalité des hébergeurs sérieux l'incluent gratuitement (Let's Encrypt) désormais.
Le SSL protège le transport des données, pas le site lui-même. Un pare-feu applicatif web (WAF) filtre en amont les requêtes malveillantes avant qu'elles n'atteignent le serveur : tentatives d'injection SQL, scripts automatisés, scans de vulnérabilités. Sur un hébergement mutualisé grand public, ce niveau de protection est rarement inclus par défaut ; il vaut la peine de vérifier ce que propose réellement l'hébergeur au-delà du simple certificat SSL.
Anticiper la panne : disponibilité et sauvegarde
La sécurité ne se limite pas au piratage. Une panne serveur, une erreur de manipulation, ou une mise à jour ratée peuvent rendre un site inaccessible sans qu'il y ait la moindre intrusion. Deux éléments limitent l'impact :
| Mesure | Ce qu'elle apporte | Fourchette de prix |
|---|---|---|
| Hébergement mutualisé avec SSL et sauvegarde de base | Protection standard pour un site vitrine | 3-15€/mois |
| VPS avec surveillance active | Isolation, réactivité, monitoring des pannes | 20-100€/mois |
| Sauvegardes automatiques régulières et testées | Retour en ligne rapide après incident | Souvent inclus, sinon 5-20€/mois en supplément |
| Nom de domaine renouvelé automatiquement | Évite la perte de domaine par oubli | 10-20€/an |
Un point souvent négligé : une sauvegarde qui n'a jamais été testée en restauration n'est pas une garantie, c'est une hypothèse. Vérifier une fois par trimestre qu'une sauvegarde se restaure correctement fait gagner un temps précieux le jour où l'incident survient réellement.
Surveiller sans y passer ses journées
La surveillance n'a pas besoin d'être permanente pour être utile. Un outil de monitoring gratuit ou peu coûteux qui vérifie toutes les cinq minutes que le site répond, couplé à une alerte par email ou SMS, suffit à détecter une panne en quelques minutes plutôt qu'en apprenant par un client qu'il n'arrive plus à consulter le site. Certains hébergeurs et prestataires incluent cette surveillance dans leur offre ; sinon, des services indépendants existent à faible coût.
Ce qu'il faut retenir
- La cause la plus fréquente de piratage sur un site pro est un logiciel obsolète, pas une attaque ciblée.
- Un mot de passe unique et long par accès, avec authentification à deux facteurs, bloque la majorité des tentatives automatisées.
- Le SSL protège le transport des données, pas le site lui-même : ce n'est qu'une brique parmi d'autres.
- Une sauvegarde qui n'a jamais été testée en restauration n'offre aucune garantie réelle.
- Un monitoring simple, même gratuit, permet de détecter une panne en quelques minutes plutôt qu'en la découvrant par un client mécontent.
- Un hébergement France avec suivi des mises à jour reste la protection la plus rentable pour un site vitrine.
Questions fréquentes
Un site vitrine simple peut-il être piraté ?
Oui. Les robots qui scannent le web ne ciblent pas votre notoriété mais des failles connues sur des CMS ou plugins obsolètes. Un site vitrine mal maintenu est une cible aussi facile qu'un gros site, souvent plus facile car moins surveillé.
Le certificat SSL suffit-il à sécuriser un site ?
Non. Le SSL chiffre les échanges entre le visiteur et le serveur, il empêche l'interception de données. Il ne protège ni contre le piratage du site lui-même, ni contre une panne serveur, ni contre une faille dans le code ou un plugin.
Combien coûte la sécurisation d'un site professionnel ?
Un hébergement mutualisé sérieux avec pare-feu et SSL inclus coûte 3 à 15€/mois. Un VPS avec surveillance active monte à 20-100€/mois. Chez VeryAppi, sécurité et mises à jour sont incluses dans l'abonnement à 99€/mois.
Que faire immédiatement si mon site est piraté ?
Coupez l'accès public si possible, changez tous les mots de passe (hébergeur, CMS, FTP, base de données), restaurez une sauvegarde saine antérieure à l'infection, puis identifiez la faille avant de remettre le site en ligne.
Si la gestion des mises à jour et de la sécurité vous prend du temps que vous n'avez pas, un site web géré avec maintenance et sécurité incluses évite d'avoir à surveiller soi-même chaque brique technique.
Questions fréquentes
›Un site vitrine simple peut-il être piraté ?
Oui. Les robots qui scannent le web ne ciblent pas votre notoriété mais des failles connues sur des CMS ou plugins obsolètes. Un site vitrine mal maintenu est une cible aussi facile qu'un gros site, souvent plus facile car moins surveillé.
›Le certificat SSL suffit-il à sécuriser un site ?
Non. Le SSL chiffre les échanges entre le visiteur et le serveur, il empêche l'interception de données. Il ne protège ni contre le piratage du site lui-même, ni contre une panne serveur, ni contre une faille dans le code ou un plugin.
›Combien coûte la sécurisation d'un site professionnel ?
Un hébergement mutualisé sérieux avec pare-feu et SSL inclus coûte 3 à 15€/mois. Un VPS avec surveillance active monte à 20-100€/mois. Chez VeryAppi, sécurité et mises à jour sont incluses dans l'abonnement à 99€/mois.
›Que faire immédiatement si mon site est piraté ?
Coupez l'accès public si possible, changez tous les mots de passe (hébergeur, CMS, FTP, base de données), restaurez une sauvegarde saine antérieure à l'infection, puis identifiez la faille avant de remettre le site en ligne.