Comment sécuriser le site d’une petite entreprise ?

Le site d’une petite entreprise est rarement attaqué par une personne qui l’a choisi. La plupart des attaques sont automatiques : des logiciels parcourent Internet à la recherche de versions anciennes, de mots de passe faibles et de pages d’administration ouvertes. Des habitudes de base réduisent donc une grande part du risque. Ce guide les liste, avec les questions à poser à la personne qui construit ou gère votre site. C’est une information générale, pas un audit de sécurité.

Où les petits sites échouent le plus souvent

• Des logiciels périmés. Une faille connue reste ouverte tant que personne ne met à jour le framework, la bibliothèque ou l’extension. Les scanners automatiques cherchent justement cela.
• Des mots de passe faibles ou réutilisés. Un mot de passe réutilisé sur plusieurs services les ouvre tous quand l’un fuite.
• Trop de personnes avec trop d’accès. D’anciens employés, d’anciennes agences et des identifiants partagés restent actifs pendant des années.
• Des pages d’administration ouvertes à tous. Une page de connexion à une adresse bien connue, sans seconde étape, est une cible.
• Des formulaires non contrôlés. Un formulaire qui fait confiance à ce que saisit le visiteur peut servir à envoyer du spam, injecter du contenu ou atteindre des données. La saisie doit être vérifiée sur le serveur, pas seulement dans le navigateur.
• Des secrets au mauvais endroit. Des clés et des mots de passe dans le code de la page, dans un dépôt public ou dans un e-mail sont visibles par d’autres.
• Aucun plan en cas de faille. Sans sauvegardes ni contact désigné, un petit incident prend beaucoup plus de temps à régler.

Les habitudes qui réduisent le risque

• Gardez les logiciels à jour, et retirez les extensions et outils inutilisés. Voir ce que comprend la maintenance d’un site.
• Utilisez un gestionnaire de mots de passe et une seconde étape (double authentification) sur l’administration, l’hébergement, le domaine et la messagerie. Le centre national britannique de cybersécurité l’explique dans son guide de cybersécurité pour les petites organisations et ses conseils pour rester en sécurité en ligne.
• Donnez à chaque personne son propre identifiant et retirez-le quand elle part.
• Servez chaque page en HTTPS et renouvelez le certificat.
• Validez côté serveur. Vérifiez chaque champ, limitez la fréquence d’envoi d’un formulaire et renvoyez des erreurs claires.
• Gardez les secrets hors du code. Stockez les clés dans les réglages de l’hébergement, jamais dans la page. Voir l’hébergement d’un site.
• Sauvegardez, et testez la restauration.
• Ajoutez des en-têtes de sécurité. Des en-têtes comme la politique de sécurité du contenu limitent ce qu’une page peut charger. Les pages MDN sur la sécurité web les expliquent.

Connaître les risques courants par leur nom

Le OWASP Top Ten liste les risques les plus courants des applications web, comme le contrôle d’accès défaillant et l’injection. Inutile de tout lire. Vous pouvez demander à votre développeur contre lesquels le site a été vérifié.

Données personnelles et loi

Un site qui collecte des noms, des adresses e-mail ou des commandes détient des données personnelles. Il s’agit d’une information générale, pas d’un conseil juridique. Le Royaume-Uni et la France ont des règles de protection des données, et une violation peut entraîner une obligation de la signaler. Voir la page de la CNIL sur la notification d’une violation et les consignes de l’ICO sur les violations de données personnelles. Pour les cookies, voir les cookies d’un site. Pour les conseils publics français destinés aux petites organisations, voir Cybermalveillance.gouv.fr. Demandez l’avis d’un conseiller qualifié pour vos propres obligations.

Questions à poser à la personne qui construit ou gère votre site

• Comment et à quelle fréquence les logiciels sont-ils mis à jour, et qui s’en charge ?
• Les comptes d’administration, d’hébergement et de domaine ont-ils une seconde étape de connexion ?
• Où sont stockés les secrets, et qui peut les lire ?
• Comment la saisie des formulaires est-elle contrôlée, et qu’est-ce qui limite le spam ?
• Que se passe-t-il, étape par étape, si le site est piraté ?
• Quand la dernière sauvegarde a-t-elle été restaurée ?

Sources et pour aller plus loin

• NCSC : guide de cybersécurité pour les petites organisations
• NCSC : conseils pour rester en sécurité en ligne
• OWASP Top Ten
• MDN : sécurité web
• ICO : violations de données personnelles
• CNIL : notifier une violation
• Cybermalveillance.gouv.fr

Comment DMC Kreatif s’en occupe

Nous gardons les secrets hors du code des pages, nous vérifions la saisie des formulaires sur le serveur et nous envoyons des en-têtes de sécurité avec chaque page. Nous ne pouvons pas promettre qu’un site ne sera jamais attaqué, et ce guide n’est pas un audit de sécurité. Demandez-nous ce que nous vérifions sur votre projet, puis demandez un devis. Sous 48 h, vous recevez une approche concrète, un calendrier réaliste et un devis clair. Notre page service sites web montre comment se déroule un projet.