Cybersécurité d’un site web en 2026 : les protections essentielles pour une PME
Sécuriser le site d’une PME : mises à jour, accès, sauvegardes, formulaires, en-têtes de sécurité et réaction en cas d’incident.
Agence web à Trappes (78) · Yvelines
La sécurité d’un site d’entreprise n’est pas réservée aux grandes organisations. La plupart des attaques sont automatisées : des robots parcourent le web à la recherche de failles connues, sans se soucier de la taille de l’entreprise. Un site piraté peut afficher du contenu malveillant, servir à envoyer du spam, fuiter des données de clients ou disparaître des résultats de recherche. Voici les protections essentielles, classées par priorité.
1. Les mises à jour, avant tout
La majorité des intrusions exploitent des failles déjà corrigées par les éditeurs, sur des sites qui n’ont pas été mis à jour. Cela concerne :
- le CMS (WordPress, PrestaShop…) ;
- les extensions, thèmes et modules ;
- les dépendances d’un site sur mesure ;
- le serveur et son système.
Supprimez aussi les extensions inutilisées : chacune est une porte d’entrée potentielle.
2. Les accès
- Des mots de passe longs et uniques, gérés avec un gestionnaire de mots de passe.
- L’authentification à deux facteurs sur l’administration du site, l’hébergement et le nom de domaine.
- Un compte par personne, avec les droits strictement nécessaires.
- La suppression des accès des anciens prestataires et collaborateurs.
Le nom de domaine est souvent oublié : celui qui contrôle le domaine contrôle le site et les emails.
3. Les sauvegardes
Une sauvegarde n’a de valeur que si elle peut être restaurée. Vérifiez :
| Question | Bonne pratique |
|---|---|
| Fréquence | Quotidienne pour un site qui change souvent |
| Conservation | Plusieurs semaines, pour remonter avant une infection discrète |
| Emplacement | Au moins une copie hors de l’hébergement principal |
| Restauration | Testée régulièrement |
4. Les formulaires et les données
Les formulaires sont un point d’entrée privilégié. Ils doivent :
- valider toutes les données reçues côté serveur ;
- être protégés contre les envois automatisés (limitation, protection anti-robots) ;
- être protégés contre les requêtes forgées depuis d’autres sites ;
- ne pas stocker plus de données que nécessaire.
Le Top 10 de l’OWASP recense les failles applicatives les plus fréquentes : injection, contrôle d’accès défaillant, mauvaise configuration.
5. Le HTTPS et les en-têtes de sécurité
Le HTTPS est indispensable : il chiffre les échanges et évite les alertes des navigateurs. Au-delà, des en-têtes de sécurité renforcent la protection du navigateur du visiteur :
- une politique de sécurité du contenu qui limite les scripts autorisés ;
- l’obligation d’utiliser HTTPS pour les visites suivantes ;
- l’interdiction d’afficher le site dans un cadre sur un autre site.
La documentation MDN décrit chacun de ces en-têtes.
6. La surveillance
- Une alerte en cas d’indisponibilité du site.
- La surveillance de l’expiration du certificat et du nom de domaine.
- Le rapport « Problèmes de sécurité » de Google Search Console, qui signale les contenus malveillants détectés.
- La lecture régulière des journaux de connexion à l’administration.
7. Savoir réagir
Préparez une procédure simple avant d’en avoir besoin :
- Mettre le site en maintenance.
- Changer tous les mots de passe (administration, hébergement, base de données, domaine).
- Restaurer une sauvegarde saine.
- Identifier et corriger la faille.
- Vérifier Search Console et demander un réexamen si nécessaire.
- Évaluer si des données personnelles ont été exposées : le RGPD prévoit des obligations de notification dans certains cas.
La checklist
- CMS, extensions et dépendances à jour.
- Extensions inutilisées supprimées.
- Authentification à deux facteurs sur l’administration, l’hébergement et le domaine.
- Accès des anciens intervenants supprimés.
- Sauvegardes quotidiennes, externalisées et testées.
- Formulaires validés côté serveur et protégés contre les robots.
- HTTPS forcé et en-têtes de sécurité en place.
- Surveillance de la disponibilité, du certificat et du domaine.
- Procédure d’incident écrite.
La sécurité fait partie de la maintenance d’un site. Nos formules de site vitrine incluent mises à jour et surveillance ; pour le choix d’une technologie moins exposée, voyez notre comparatif Next.js ou WordPress.
FAQ
Un petit site vitrine intéresse-t-il vraiment les pirates ?
Oui, car la plupart des attaques sont automatisées : des robots testent en masse les failles connues des CMS et des extensions, sans cibler une entreprise en particulier. Un site non mis à jour est une cible facile.
Les sauvegardes de l’hébergeur suffisent-elles ?
Pas toujours. Vérifiez leur fréquence, leur durée de conservation et surtout la possibilité de les restaurer rapidement. Une sauvegarde externe supplémentaire, testée régulièrement, est une bonne pratique.
Que faire si mon site est piraté ?
Mettre le site hors ligne ou en maintenance, changer tous les mots de passe, restaurer une sauvegarde saine, corriger la faille, puis vérifier dans Search Console qu’aucun contenu malveillant n’a été indexé. Si des données personnelles ont fuité, des obligations de notification peuvent s’appliquer.
Besoin d'aide pour votre projet ?
Studio à Trappes (78) : on clarifie le périmètre, les délais et les preuves utiles avant de chiffrer. Devis sous 24h, sans engagement.
Agence locale : Trappes · Rambouillet · Versailles · Hub Yvelines