« Qui irait pirater le site de ma boulangerie ? » C'est la phrase que nous entendons le plus souvent, et elle repose sur une idée fausse : celle d'un humain qui choisirait sa cible. Dans l'immense majorité des cas, ce qui s'attaque à votre site n'est pas quelqu'un, c'est un programme qui parcourt Internet en continu et teste sur chaque adresse une liste de failles connues. Il ne sait pas que vous vendez du pain. Il sait que votre site utilise une extension dont la faille a été publiée il y a trois semaines.
La bonne nouvelle, c'est que ce type d'adversaire est aussi le plus facile à décourager. Un site à jour, sauvegardé, avec des accès protégés, sort du champ de ces scans automatiques. Voici ce qui arrive réellement à une TPE, ce que ça coûte, et les gestes qui règlent l'essentiel.
Les six incidents que nous voyons vraiment
1. Le site pollué par une extension pas à jour
C'est le cas le plus fréquent. Un module de galerie, de formulaire ou de traduction, installé il y a quatre ans, n'a plus été mis à jour. Une faille est publiée, un robot la teste, votre site se retrouve avec des centaines de pages cachées qui vendent des médicaments ou des chaussures contrefaites, ou avec une redirection qui n'apparaît que pour les visiteurs venus de Google. Vous ne voyez rien depuis votre bureau. Vous le découvrez quand vos visites s'effondrent et que Google affiche « Ce site peut être piraté » à côté de votre nom.
2. Le mail piégé qui vous prend un mot de passe
Un message imite votre hébergeur, votre banque ou votre messagerie professionnelle, annonce une suspension imminente et vous fait saisir vos identifiants sur une page qui ressemble à la vraie. Retenez ceci : votre boîte mail est la clé maîtresse. Celui qui y accède peut demander la réinitialisation du mot de passe de tous vos autres comptes, y compris celui de votre nom de domaine.
3. La fausse facture de nom de domaine
Un courrier ou un mail très administratif vous réclame quelques centaines d'euros pour « le renouvellement de votre nom de domaine » ou une inscription à un annuaire professionnel. L'expéditeur n'est pas votre prestataire. Ce n'est pas du piratage, c'est de l'escroquerie classique, et elle vise en priorité les petites structures où personne ne sait exactement chez qui le domaine est enregistré. Le réflexe : savoir où sont vos abonnements, et ne jamais payer depuis un lien reçu par mail.
4. Le nom de domaine perdu
Celui-là ne fait aucun bruit et fait beaucoup de dégâts. Le domaine arrive à échéance, l'adresse de contact enregistrée est celle d'un salarié parti il y a deux ans, la carte bancaire enregistrée a expiré. Un matin, le site ne répond plus, et les mails de l'entreprise non plus, puisqu'ils dépendent du même domaine. Si un tiers rachète le nom pendant qu'il est libre, le récupérer devient long et coûteux.
5. Le rançongiciel, sur les postes plutôt que sur le site
Le chiffrement des fichiers arrive généralement par une pièce jointe ou un logiciel téléchargé, et frappe les ordinateurs du bureau, pas le serveur du site. Le point qui fait la différence entre une mauvaise journée et une catastrophe : le disque de sauvegarde. S'il était branché en permanence, il est chiffré lui aussi.
6. Le formulaire transformé en robinet à spam
Un formulaire de contact sans aucune protection est utilisé par des robots pour vous noyer sous les messages, parfois pour envoyer des mails depuis votre serveur. Conséquence concrète : votre nom de domaine finit sur des listes noires et vos devis légitimes arrivent dans les indésirables de vos clients.
Le classement honnête
| Menace | Probabilité pour une TPE | Ce que ça coûte | La parade |
|---|---|---|---|
| Extension ou thème obsolète | Élevée | Visibilité Google perdue, nettoyage à payer | Mises à jour, suppression du superflu |
| Hameçonnage sur vos identifiants | Élevée | Perte de contrôle de tous les comptes | Double authentification |
| Domaine expiré ou mal suivi | Moyenne | Site et mails coupés, parfois plusieurs jours | Renouvellement automatique, contact à jour |
| Rançongiciel sur les postes | Moyenne | Arrêt d'activité, données perdues | Sauvegardes déconnectées et testées |
| Spam via formulaire | Élevée | Temps perdu, mails classés indésirables | Protection anti-robots sur le formulaire |
| Attaque ciblée par un professionnel | Faible, hors secteurs sensibles | Élevé | Hors du champ de cet article |
La dernière ligne mérite d'être dite franchement : si vous êtes une PME ordinaire, vous n'êtes pas la cible d'une équipe organisée, et payer pour vous en protéger serait un mauvais placement. Les cinq premières lignes, elles, vous concernent toutes.
Les cinq gestes qui règlent l'essentiel
1. La double authentification là où ça compte
La double authentification, c'est un code à usage unique demandé en plus du mot de passe. Activez-la sur cinq comptes, dans cet ordre : votre messagerie professionnelle, l'endroit où est enregistré votre nom de domaine, votre hébergement, l'administration de votre site, vos comptes Google et réseaux sociaux professionnels. Comptez dix minutes par compte. Préférez une application génératrice de codes au SMS, qui reste vulnérable au détournement de ligne. Ce seul geste annule la majorité des conséquences d'un mot de passe volé.
2. Un gestionnaire de mots de passe
Le problème n'est pas la complexité du mot de passe, c'est sa réutilisation. Le jour où un site quelconque se fait voler sa base d'utilisateurs, le mot de passe que vous y aviez mis est testé partout ailleurs. Un gestionnaire génère un mot de passe différent par service et vous évite les carnets, les notes autocollantes et les mots de passe partagés en clair dans une conversation d'équipe.
3. Des sauvegardes que vous avez déjà restaurées une fois
La règle de référence est simple : trois copies, sur deux supports différents, dont une en dehors des locaux et déconnectée. Mais le vrai critère est ailleurs. Posez la question à celui qui gère votre site : « combien de temps faut-il pour remettre le site en ligne à partir de la dernière sauvegarde ? » Si personne ne connaît la réponse parce que personne ne l'a jamais fait, alors vous n'avez pas de sauvegarde, vous avez des fichiers. Un essai de restauration par an suffit à lever le doute.
4. Mettre à jour, et surtout supprimer
Chaque extension installée est une porte supplémentaire, y compris celles que vous n'utilisez plus. Faites l'inventaire : tout module sans mise à jour depuis deux ans se désinstalle, il ne se désactive pas. Ensuite, appliquez les mises à jour régulièrement, en ayant sauvegardé juste avant, et si votre site est important pour votre activité, sur une copie de test d'abord. Une mise à jour ratée sans sauvegarde préalable coûte plus cher que la faille qu'elle corrigeait.
5. Le ménage dans les accès
Un compte nominatif par personne, jamais de compte « admin » partagé par toute l'équipe et l'ancien stagiaire. Les droits minimum nécessaires : quelqu'un qui écrit des articles n'a pas besoin d'être administrateur. Et à chaque départ, salarié ou prestataire, l'accès se retire le jour même. C'est gratuit et c'est la mesure la plus souvent oubliée.
Le socle technique, en clair
- Le HTTPS, ce cadenas dans la barre d'adresse, chiffre ce qui circule entre le visiteur et votre site. Il est aujourd'hui indispensable : sans lui, les navigateurs affichent « Non sécurisé » à côté de votre nom. Le certificat est gratuit et se renouvelle automatiquement chez tout hébergeur sérieux. Payer un certificat « premium » pour un site vitrine n'apporte rien que le visiteur puisse voir.
- Un hébergement maintenu, avec une version récente du langage qui fait tourner le site, des sauvegardes incluses et un interlocuteur joignable. C'est la différence entre quelques euros et quelques dizaines d'euros par mois, et elle se paie une seule fois, le jour de l'incident.
- Un filtre devant le site, c'est-à-dire un service qui bloque les requêtes malveillantes avant qu'elles n'atteignent votre serveur. Utile dès que vous avez du trafic ou une boutique en ligne. Superflu pour un site de cinq pages qui reçoit deux cents visites par mois.
- Les paiements ne se stockent jamais chez vous. Les numéros de carte restent chez le prestataire de paiement, qui porte la certification correspondante. Si on vous propose de conserver les cartes dans votre propre base, refusez.
- La surveillance. La Search Console de Google est gratuite et vous alerte quand elle détecte du contenu piraté. Ajoutez un service qui vous prévient si le site tombe. Et ouvrez votre site vous-même, une fois par semaine, en navigation privée depuis un téléphone : c'est ainsi qu'on repère les redirections qui n'apparaissent qu'aux visiteurs.
Ce qui ne vaut pas le coup
- Les extensions de sécurité qui promettent une protection totale. Elles ajoutent du code, ralentissent le site, produisent des rapports rassurants et ne remplacent pas une mise à jour. Certaines sont utiles pour bloquer les tentatives de connexion répétées ; aucune ne compense un module abandonné.
- Un test d'intrusion à plusieurs milliers d'euros pour un site vitrine. Le même budget mis dans un bon hébergement, une maintenance mensuelle et des sauvegardes testées vous protège infiniment mieux.
- Payer un nettoyage sans chercher la porte d'entrée. Vous repaierez le même nettoyage dans le mois.
Si c'est déjà arrivé : l'ordre des opérations
- Ne supprimez rien. Faites d'abord une copie complète, fichiers et base de données. C'est votre filet de sécurité et, le cas échéant, votre preuve.
- Coupez ce qui saigne. Page de maintenance, désactivation des paiements et des formulaires.
- Changez les mots de passe depuis un poste sain, dans l'ordre : messagerie, nom de domaine, hébergement, site, réseaux sociaux, banque. Activez la double authentification au passage.
- Restaurez une sauvegarde antérieure à la compromission, et non antérieure au jour où vous l'avez remarquée. Les deux dates sont rarement les mêmes.
- Fermez la porte avant de remettre en ligne : module obsolète, compte oublié, mot de passe volé. Sans cela, la suite est écrite.
- Faites lever l'alerte auprès de Google via une demande d'examen dans la Search Console, et vérifiez que votre domaine n'est pas sur une liste noire d'expéditeurs.
- Si des données personnelles ont pu être touchées, vous avez 72 heures pour notifier la CNIL, et vous devez informer les personnes concernées si le risque est élevé. Le sujet est détaillé dans notre article sur le RGPD et votre site.
- Faites-vous orienter. La plateforme publique cybermalveillance.gouv.fr propose un diagnostic gratuit et une liste de prestataires référencés, et un dépôt de plainte reste possible.
Combien ça coûte de dormir tranquille
L'essentiel de cette liste est gratuit. La double authentification, le ménage dans les comptes, la suppression des extensions inutiles, la Search Console : zéro euro. Un gestionnaire de mots de passe et un espace de sauvegarde externalisé coûtent quelques euros par mois. Le vrai coût, c'est le temps : deux à trois heures pour la mise en place, puis une petite demi-heure par mois pour les mises à jour et un coup d'œil aux alertes.
Si personne chez vous n'a cette demi-heure, c'est là qu'un contrat de maintenance a du sens. Nos formules mensuelles commencent à 199 €/mois et le détail de ce que couvre chacune est sur le catalogue.
Un dernier cas, plus fréquent qu'on ne le croit : le site est si ancien qu'il ne peut plus être mis à jour. Le thème n'est plus maintenu, le langage du serveur n'est plus supporté, personne ne sait ce qu'il y a dedans. Sécuriser un site pareil revient à réparer une carrosserie sur un moteur fondu. Dans cette situation, le refaire coûte souvent moins cher que de le rafistoler : un site vitrine démarre chez nous à 1 500 €, et nous expliquons comment mener l'opération dans notre guide de la refonte.
Si vous ne devez retenir qu'une chose de cet article, faites ces deux gestes cette semaine : activez la double authentification sur votre boîte mail professionnelle et sur le compte où est enregistré votre nom de domaine, puis demandez à qui gère votre site quand la dernière sauvegarde a été restaurée pour de bon. Les réponses vous diront en dix minutes où vous en êtes. Si elles ne vous plaisent pas, décrivez-nous votre site et nous vous renverrons une liste de corrections classées par ordre d'urgence, en indiquant celles que vous pouvez faire vous-même.