Cybersécurité
Votre site d’entreprise est-il exposé ? Les signes et les priorités.
Les failles les plus courantes sur les sites de petites entreprises, et l’ordre dans lequel les corriger.
Quels signes doivent vous alerter ?
Certains signes sont visibles par tous : le navigateur affiche « Non sécurisé », des pages que vous n’avez jamais créées apparaissent dans Google, des clients signalent des redirections étranges, ou votre formulaire de contact envoie du spam. D’autres demandent un œil plus attentif : un CMS ou des extensions qui n’ont pas été mis à jour depuis des mois, un identifiant administrateur partagé par plusieurs personnes, un ancien prestataire qui a toujours accès, ou une version de test du site encore en ligne et visible dans les moteurs de recherche.
Commencer par les accès
La plupart des intrusions sur les petits sites ne demandent aucune attaque sophistiquée : un mot de passe volé ou deviné suffit. Dressez la liste de tous les comptes qui permettent de modifier le site, l’hébergement, le nom de domaine et la messagerie. Attribuez un identifiant à chaque personne, retirez les accès devenus inutiles et activez la double authentification partout où elle est proposée. Le domaine et la messagerie méritent une attention particulière : celui qui les contrôle peut réinitialiser presque tous les autres mots de passe. Ils doivent donc appartenir à l’entreprise, pas à l’adresse personnelle d’un collaborateur.
Ensuite : mises à jour, sauvegardes et formulaires
Mettez à jour la plateforme, le thème et les extensions, et supprimez celles que vous n’utilisez pas : une extension inactive reste du code attaquable. Vérifiez ensuite que les sauvegardes existent, qu’elles sont stockées hors du serveur principal et qu’une restauration fonctionne réellement. Enfin, contrôlez vos formulaires : ils doivent vérifier les saisies, limiter les envois répétés et ne jamais transmettre de données sensibles, comme un numéro d’identité, par simple e-mail.
Quand faire appel à un test d’intrusion ?
Si votre site gère des comptes, des paiements, des réservations ou des données clients, un test d’intrusion est une étape raisonnable avant le lancement et après chaque évolution importante. Le testeur tente d’entrer comme le ferait un attaquant, puis remet un rapport classé par niveau de risque, avec des corrections concrètes. Demandez un second test une fois les corrections appliquées.
À retenir
- Maîtriser les accès avant tout le reste.
- Tenir les logiciels à jour et supprimer le superflu.
- Vérifier les restaurations, et tester le site s’il contient des données clients.