Ce que le prestataire doit livrer, et ce que vous devez contrôler vous-même
Pour beaucoup de petites entreprises, le site web est la première vitrine, parfois le seul outil commercial. C'est aussi une porte d'entrée vers vos systèmes : formulaire de contact, espace d'administration, messagerie liée au nom de domaine. Un site négligé peut être défiguré, servir à diffuser des liens malveillants ou exposer les messages de vos prospects. La sécurité se prépare avant la mise en ligne, pas après le premier incident.
Quand on s'engage dans la création de site internet, on parle d'abord de design, de rubriques et de référencement. La sécurité arrive rarement dans la conversation, alors qu'elle se négocie très bien au moment du devis. Demandez par écrit qui héberge le site, où sont conservées les sauvegardes, qui applique les mises à jour et à quelle fréquence. Ces quatre points évitent la plupart des mauvaises surprises.
Dans les petites structures, les incidents viennent plus souvent d'un mot de passe faible que d'une attaque sophistiquée. Le compte administrateur partagé entre trois personnes, l'identifiant resté actif après le départ d'un prestataire, le mot de passe « entreprise2024 » : tout cela se corrige en une après-midi.
Le cadenas dans la barre d'adresse (connexion HTTPS) est le minimum : il chiffre les échanges entre le visiteur et le serveur, notamment lors de l'envoi d'un formulaire. Vérifiez que le certificat se renouvelle automatiquement, car un certificat expiré affiche un avertissement alarmant qui fait fuir les visiteurs.
Si le site repose sur un gestionnaire de contenu, chaque extension ajoutée est une porte supplémentaire. Limitez-vous à celles qui sont réellement utiles, supprimez celles que vous n'utilisez plus et téléchargez-les uniquement depuis les sources officielles. Les mises à jour de sécurité doivent être appliquées dans les jours qui suivent leur publication, idéalement après un test sur une copie du site.
Une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une garantie. Demandez à votre prestataire de vous montrer comment il restaure le site, et conservez au moins une copie hors de l'hébergement principal. Une sauvegarde hebdomadaire suffit pour un site vitrine qui change peu ; elle doit être quotidienne si vous publiez souvent ou si vous recevez des commandes.
Un formulaire de contact collecte des données personnelles : nom, e-mail, parfois téléphone. Ne demandez que ce qui est nécessaire, indiquez à quoi servent ces informations et protégez le formulaire contre le spam avec un dispositif discret. Les messages reçus ne doivent pas rester indéfiniment dans une boîte partagée : fixez une durée de conservation raisonnable et supprimez ce qui n'a plus d'utilité.
Même bien protégé, un site peut être touché. Préparez à l'avance une petite fiche : qui prévenir, comment mettre le site hors ligne, où se trouve la dernière sauvegarde saine, quels mots de passe changer en premier. Le dispositif national Cybermalveillance.gouv.fr propose un diagnostic en ligne et met en relation avec des prestataires de proximité en cas d'incident.
La veille de la mise en ligne, prenez dix minutes pour parcourir cette liste : le site s'ouvre en HTTPS sans alerte, l'espace d'administration n'utilise plus le mot de passe par défaut, les sauvegardes sont programmées, les extensions inutiles sont retirées, le formulaire envoie bien vers la bonne adresse. Notez la date et le nom de la personne qui a vérifié. Revenez ensuite sur cette liste chaque trimestre : un site sûr est un site dont on s'occupe régulièrement, pas un site que l'on a « terminé ».
Les mesures décrites ici demandent surtout du temps et quelques décisions, rarement un budget important. À l'inverse, un site piraté se paie en heures de remise en état, en perte de visibilité si les moteurs de recherche signalent le site comme dangereux, et en confiance entamée auprès des prospects. Comparer ces deux coûts aide à arbitrer sans dramatiser.