Comment sécuriser son site internet contre le piratage ?

Sécuriser son site internet repose sur quelques protections de base, appliquées sans exception : une connexion HTTPS, des mises à jour régulières, des mots de passe solides avec double authentification, des sauvegardes gardées hors du serveur et des formulaires protégés. Les petits sites sont rarement visés personnellement : ils sont touchés par des robots qui cherchent un logiciel oublié ou un mot de passe faible. Combler ces brèches, c'est déjà fermer la porte à ces attaques automatiques.

Pourquoi un petit site est aussi une cible

« Mon site n'intéresse personne » : c'est la pensée qui fait baisser la garde. Or les attaques sont largement automatisées. Des programmes parcourent le web sans relâche, testent les adresses de connexion et repèrent les versions vulnérables des logiciels. Une fois entrés, ils se servent du site pour envoyer du spam, rediriger les visiteurs vers des pages frauduleuses, héberger de faux formulaires bancaires ou récupérer ce que saisissent vos clients. Votre réputation en souffre, votre nom de domaine peut être mis sur liste noire, et Google peut afficher un avertissement à ceux qui tentent d'ouvrir vos pages.

HTTPS : un socle, pas une option

Le HTTPS chiffre les échanges entre le navigateur du visiteur et votre serveur. Sans lui, un mot de passe ou un message envoyé par formulaire peut être intercepté, par exemple sur un réseau Wi-Fi public, et les navigateurs signalent la page comme « non sécurisée ».

Le HTTPS est-il obligatoire ? Aucun texte ne l'impose nommément à chaque site, mais le RGPD exige de protéger les données personnelles que vous recueillez, et la CNIL recommande de chiffrer les échanges avec le protocole TLS sur les sites web. Dans les faits, c'est devenu la norme : la plupart des hébergeurs fournissent gratuitement un certificat, souvent via Let's Encrypt. Vérifiez simplement que toutes les adresses de votre site, avec ou sans « www », redirigent bien vers la version en https://.

Les mises à jour

Chaque logiciel qui fait tourner votre site peut contenir une faille : le système de gestion de contenus (WordPress, Joomla, PrestaShop…), son thème, ses extensions, mais aussi la version de PHP du serveur. Quand une faille est découverte, l'éditeur publie un correctif ; dès cet instant, elle est connue de tous, pirates compris. Un site resté sur l'ancienne version devient une cible facile.

• appliquez les mises à jour de sécurité rapidement, après avoir fait une sauvegarde ;
• supprimez les extensions et thèmes désactivés : même inactifs, leurs fichiers restent sur le serveur ;
• évitez les extensions abandonnées par leur auteur et celles téléchargées hors des sources officielles ;
• demandez à votre hébergeur si votre version de PHP est encore maintenue.

Un site développé sans système de gestion de contenus a moins de pièces à surveiller, ce qui réduit l'exposition. Il n'échappe pas pour autant au suivi : le serveur et le langage évoluent eux aussi.

Mots de passe et double authentification

Les comptes d'administration sont la porte la plus visée. Quelques règles changent tout :

• Un mot de passe long et unique pour chaque accès : administration du site, hébergement, nom de domaine, messagerie. Une phrase de passe de plusieurs mots se retient mieux et se devine moins qu'un mot court truffé de symboles.
• Un gestionnaire de mots de passe, pour ne plus jamais réutiliser le même.
• La double authentification : en plus du mot de passe, un code temporaire fourni par une application sur votre téléphone. Même si le mot de passe fuite, le compte reste fermé. Activez-la en priorité sur l'hébergement, le compte du nom de domaine et la messagerie, qui permet de réinitialiser tout le reste.
• Un compte par personne, avec les seuls droits nécessaires, et la suppression des accès d'anciens prestataires ou collaborateurs.
• Une limite aux tentatives de connexion, pour bloquer les robots qui essaient des combinaisons en série.

Des sauvegardes hors du serveur

Une sauvegarde ne sert que si elle survit à l'incident. Rangée sur le même serveur que le site, elle peut disparaître avec lui, qu'il s'agisse d'une panne ou d'un pirate qui efface ses traces. La bonne stratégie combine les sauvegardes automatiques de l'hébergeur avec une copie régulière conservée ailleurs, sur plusieurs dates : une intrusion découverte au bout de trois semaines oblige à remonter avant elle. Sauvegardez ensemble les fichiers et la base de données, sinon la restauration sera incohérente. Et procédez de temps en temps à une restauration d'essai sur un espace de test : c'est la seule preuve que vos copies sont exploitables.

Des formulaires protégés

Contact, devis, connexion, commande : chaque champ que remplit un visiteur est une porte d'entrée possible pour un robot ou un pirate.

• Vérifier chaque donnée côté serveur, pas seulement dans le navigateur : une adresse e-mail doit avoir la forme d'une adresse, une quantité doit être un nombre.
• Passer par des requêtes préparées pour tout échange avec la base de données, afin d'empêcher les injections SQL.
• Neutraliser le code avant de réafficher un texte saisi, pour qu'un script malveillant ne puisse pas s'y glisser.
• Freiner les robots : champ piège invisible pour les humains, limite d'envois par adresse, vérification anti-robot quand le spam persiste.
• Ajouter un jeton unique à chaque formulaire sensible, pour qu'un autre site ne puisse pas déclencher une action à l'insu de l'utilisateur connecté.
• Ne demander que l'indispensable : une donnée que vous ne collectez pas ne peut pas fuir.

Site internet piraté : que faire ?

Pages modifiées, redirections vers des sites douteux, avertissement de Google ou de l'hébergeur, e-mails partis à votre insu : voici l'ordre des opérations.

1. Ne supprimez rien dans la précipitation : les fichiers modifiés aident à comprendre par où le pirate est passé.
2. Prévenez votre hébergeur, qui peut suspendre le site et vous aider à repérer les fichiers touchés.
3. Changez tous les mots de passe (administration, hébergement, FTP, base de données, nom de domaine, messagerie) depuis un appareil sain.
4. Restaurez une sauvegarde antérieure à l'intrusion, puis appliquez toutes les mises à jour avant de remettre le site en ligne ; sinon, la même faille resservira.
5. Consultez la Search Console : si Google a signalé le site, une demande d'examen permet de lever l'avertissement une fois le nettoyage terminé.
6. Pensez aux données personnelles : si des informations de clients ont pu être consultées ou volées, le RGPD prévoit une notification à la CNIL, si possible dans les 72 heures, lorsque la violation présente un risque pour les personnes, et parfois l'information des personnes elles-mêmes.
7. Faites-vous accompagner : cybermalveillance.gouv.fr oriente les victimes et met en relation avec des professionnels ; un dépôt de plainte est également possible.

Ce que je mets en place

Les sites que je réalise sont livrés en HTTPS, et vous en gardez les accès. Je propose un hébergement en France, HTTPS compris, chez o2switch, pour 20 € par an. Après la mise en ligne, la sécurité devient une affaire de suivi : mises à jour, sauvegardes, surveillance. C'est le rôle de la maintenance facultative, à 50 € par an selon le contrat.

En résumé

• Activez le HTTPS partout et redirigez les anciennes adresses en http.
• Appliquez les mises à jour et supprimez ce qui ne sert plus.
• Utilisez des mots de passe uniques et la double authentification sur les accès sensibles.
• Conservez des sauvegardes hors du serveur, sur plusieurs dates.
• Protégez chaque formulaire et ne collectez que l'indispensable.
• En cas de piratage : hébergeur, mots de passe, sauvegarde saine, mises à jour, puis vérification dans la Search Console.

Si vous préférez confier cette vigilance à quelqu'un, voyez ce que comprend un contrat de maintenance pour votre site.