Mon site est-il sécurisé ? Un contrôle de 15 minutes pour les chefs d'entreprise

Vous n'avez probablement pas construit votre site vous-même. Quelqu'un l'a mis en place il y a quelques années, il tourne depuis, et tant que le formulaire de contact envoie des e-mails et que la boutique prend des commandes, rien ne vous pousse à regarder sous le capot.

La plupart des propriétaires ne pensent à la sécurité qu'après un problème : un client signale une redirection étrange, Google affiche un avertissement, ou l'hébergeur suspend le compte. À ce stade, la réparation coûte plus cher et les dégâts sont déjà faits.

Vous pouvez repérer beaucoup de problèmes plus tôt, sans aucune connaissance technique. Voici six contrôles qui prennent environ un quart d'heure au total. Aucun ne touche à votre code et aucun ne peut rien casser.

1. Regardez votre site comme Google le voit

Ouvrez Google et tapez site:votredomaine.fr, avec votre propre adresse. Vous obtenez la liste de toutes les pages que Google connaît sur votre site.

Parcourez-la. Cherchez des pages que vous ne reconnaissez pas : des noms de produits que vous n'avez jamais vendus, du texte en japonais ou en chinois, des liens sur la pharmacie, les casinos ou les crédits. Les sites piratés se voient souvent ajouter discrètement des milliers de pages de spam de ce genre, parce que l'attaquant veut emprunter la réputation de votre site dans les résultats de recherche. Google a même un guide sur une variante courante, appelée le piratage par mots-clés japonais.

Si vous avez accès à la Google Search Console, ouvrez à gauche le rapport Problèmes de sécurité. Google y liste tout ce qu'il a signalé sur votre site. Un rapport vide est une bonne nouvelle.

2. Vérifiez que le cadenas est réel

Cliquez sur le cadenas à côté de l'adresse dans le navigateur et ouvrez les détails du certificat. Regardez la date d'expiration. Les certificats se renouvellent automatiquement sur la plupart des offres d'hébergement, mais « la plupart » ne veut pas dire tous. Un certificat expiré affiche à vos visiteurs un avertissement pleine page.

Tapez ensuite votre adresse à la main avec http:// au lieu de https://, puis encore une fois avec et sans www. Les quatre versions doivent arriver à la même adresse sécurisée. Si l'une reste en http simple, les formulaires de cette version envoient les données sans chiffrement.

3. Trouvez quand les mises à jour ont été faites

Si votre site tourne sous WordPress et que vous pouvez vous connecter, ouvrez Tableau de bord > Mises à jour. Notez trois choses : la version de WordPress, le nombre d'extensions qui attendent une mise à jour, et si le thème en a une en attente.

Une extension qui n'a pas été mise à jour depuis un an est la voie d'entrée la plus fréquente dans un site WordPress. Patchstack, une société qui suit les vulnérabilités de WordPress, indique année après année que la grande majorité des nouvelles se trouvent dans les extensions, pas dans WordPress lui-même.

Pendant que vous y êtes, ouvrez la page Extensions. Tout ce qui est marqué inactif reste sur votre serveur. Ses fichiers sont souvent accessibles directement, qu'elle soit activée ou non. Si vous n'utilisez pas une extension, demandez qu'elle soit supprimée, et pas seulement désactivée.

4. Comptez les personnes qui peuvent se connecter

Toujours dans l'administration, ouvrez Utilisateurs et filtrez sur Administrateur. Pour chaque nom, demandez-vous si cette personne travaille encore avec vous.

D'anciens salariés, une agence avec laquelle vous avez rompu il y a deux ans, un indépendant qui a corrigé un bogue : ces comptes ont tendance à durer éternellement. Chacun est un mot de passe que vous ne contrôlez pas et qui a pu fuiter ailleurs. Supprimez ceux dont vous n'avez pas besoin, et assurez-vous que ceux qui restent utilisent une connexion à deux facteurs.

5. Vérifiez qui peut envoyer des e-mails en votre nom

Rendez-vous sur un vérificateur gratuit comme MXToolbox, choisissez la recherche DMARC et saisissez votre domaine. Faites de même pour SPF.

Sans DMARC, n'importe qui peut envoyer un e-mail qui semble venir de votre adresse. Vos clients ne verront pas la différence, et une fausse facture avec votre logo et vos coordonnées bancaires remplacées par celles de quelqu'un d'autre est l'une des arnaques les plus courantes visant les petites entreprises. Depuis 2024, Gmail et Yahoo attendent aussi DMARC de quiconque envoie des e-mails en masse : un enregistrement manquant nuit donc aussi à vos vraies lettres d'information.

Un enregistrement qui indique p=none existe, mais se contente d'observer. p=quarantine ou p=reject est ce qui vous protège réellement. Y passer est l'affaire de la personne qui gère votre domaine, et cela lui prend quelques minutes une fois SPF et DKIM en place.

6. Demandez où se trouvent les sauvegardes

Celui-ci est une question, pas un clic. Demandez à la personne qui s'occupe de votre site où sont stockées les sauvegardes.

Si la réponse est « dans un dossier sur le même serveur », cela mérite une seconde conversation. Un fichier de sauvegarde posé dans le dossier du site, avec un nom comme backup.zip ou site-old.tar.gz, peut être téléchargé par quiconque devine l'adresse. Il contient tout votre site, souvent avec la base de données clients et son mot de passe. Les robots essaient ces noms de fichiers sur chaque site qu'ils visitent.

Les bonnes sauvegardes sont ailleurs, tournent selon un calendrier, et quelqu'un a essayé d'en restaurer une au moins une fois.

Ce que ces contrôles ne montrent pas

Les six contrôles ci-dessus couvrent ce que vous pouvez voir depuis votre chaise. Ils manquent ce qui demande un outil : si vos formulaires acceptent des saisies qu'ils devraient rejeter, de vieilles bibliothèques JavaScript avec des failles connues, des sous-domaines de test oubliés, des ports de serveur ouverts, ou des fichiers de configuration laissés là où tout le monde peut les lire.

C'est le manque pour lequel j'ai construit ShieldWave. Vous saisissez votre adresse et, en 90 secondes environ, il exécute plus de 20 de ces contrôles de l'extérieur, comme le ferait un attaquant. Le rapport explique chaque constat en langage clair, les classe en ce qu'il faut corriger cette semaine, ce mois-ci et plus tard, et vous donne un descriptif prêt à transmettre à votre développeur. Le premier contrôle est gratuit et ne demande pas de compte.

Cinq questions pour la personne qui s'occupe de votre site

Vous n'avez pas besoin de comprendre les réponses en détail. Vous avez besoin d'entendre que quelqu'un y a réfléchi.

1. Quand WordPress, le thème et les extensions ont-ils été mis à jour pour la dernière fois, et qui s'en charge ?
2. Où sont conservées les sauvegardes, à quelle fréquence tournent-elles, et en avez-vous déjà restauré une ?
3. Qui a un accès administrateur en ce moment ?
4. SPF, DKIM et DMARC sont-ils configurés pour notre domaine, et DMARC est-il réglé sur quarantine ou reject ?
5. Si le site était piraté demain, que feriez-vous en premier, et comment l'apprendrais-je ?

Si les réponses sont vagues, cela vous apprend aussi quelque chose. La sécurité du site d'une petite entreprise est un entretien régulier, un peu comme la révision d'une voiture. Elle demande rarement un gros budget. Elle demande que quelqu'un s'en occupe selon un calendrier, et vous savez maintenant quoi lui demander de regarder.