Check-list de sécurité pour le site web d’une petite entreprise

Beaucoup d’attaques contre les sites de petites entreprises ne sont pas personnelles. Des outils automatiques parcourent internet jour et nuit à la recherche de failles courantes : logiciels obsolètes, mots de passe faibles, comptes administrateur oubliés. Bonne nouvelle : quelques mesures de base suffisent à combler la plupart de ces failles.

1. Utiliser HTTPS partout

HTTPS chiffre la connexion entre vos visiteurs et votre site. Il protège les données des formulaires et les mots de passe, et les navigateurs signalent les sites sans HTTPS comme « Non sécurisé ». Les certificats sont gratuits avec Let’s Encrypt, et la plupart des hébergeurs les installent en quelques clics.

Redirigez chaque adresse http:// vers https://.
Activez HSTS, pour que les navigateurs utilisent toujours la version sécurisée.

2. Tout maintenir à jour

La plupart des attaques réussies exploitent des failles connues, pour lesquelles un correctif existe déjà. Les mises à jour les ferment.

Mettez à jour votre CMS, ses extensions et ses thèmes dès qu’une mise à jour de sécurité est publiée.
Supprimez les extensions et les thèmes inutilisés : chaque composant en plus est un élément de plus à maintenir.
Demandez à votre hébergeur quelles versions des logiciels serveur il utilise.

3. Protéger chaque compte

Votre site n’est pas plus sûr que les comptes qui le contrôlent : hébergement, nom de domaine, messagerie et interface d’administration du site.

Utilisez un mot de passe long et différent pour chaque compte, enregistré dans un gestionnaire de mots de passe.
Activez l’authentification à deux facteurs partout où c’est possible, en commençant par la messagerie et l’hébergement.
Supprimez les comptes des personnes qui ne travaillent plus avec vous.

4. Sauvegarder, et tester la restauration

Une sauvegarde que vous n’avez jamais restaurée est un espoir, pas un plan. Visez des sauvegardes régulières et automatiques, stockées en dehors de votre hébergement.

Suivez la règle 3-2-1 : trois copies de vos données, sur deux types de supports différents, dont une dans un autre lieu.
Conservez plusieurs versions, pour pouvoir revenir à une date antérieure au problème.
Testez une restauration complète au moins une ou deux fois par an.

5. Ajouter des en-têtes de sécurité

Les en-têtes de sécurité sont de courtes instructions que votre serveur envoie aux navigateurs. Ils bloquent des familles entières d’attaques, comme l’injection de scripts malveillants dans une page ou l’affichage de votre site à l’intérieur d’un autre site.

Content-Security-Policy : quels scripts, styles et images le navigateur peut charger.
X-Frame-Options ou frame-ancestors : empêche le clickjacking.
X-Content-Type-Options et Referrer-Policy : des réglages simples et sûrs.

Vous pouvez tester votre site gratuitement sur securityheaders.com.

6. Collecter moins de données

Les données que vous ne collectez pas ne peuvent pas fuiter. Chaque champ de formulaire, outil d’analyse ou extension tierce ajoute des données personnelles que vous devez protéger au titre du RGPD.

Ne demandez que les informations dont vous avez vraiment besoin.
Évitez les outils qui chargent du contenu d’autres entreprises, sauf s’ils apportent une vraie valeur.

7. Savoir quoi faire en cas de problème

Notez au même endroit où votre site est hébergé, qui y a accès, où se trouvent les sauvegardes et comment les restaurer. Ajoutez un outil gratuit de surveillance de disponibilité qui vous envoie un e-mail si le site ne répond plus. Le jour où un problème survient, cette page fait gagner des heures.

La check-list

HTTPS avec redirections et HSTS
Logiciels et extensions à jour
Mots de passe uniques et authentification à deux facteurs
Sauvegardes automatiques et testées
En-têtes de sécurité
Uniquement les données nécessaires
Un plan de reprise écrit

Besoin d’aide pour l’une de ces étapes ? Nous pouvons examiner votre site et vous remettre une liste claire de priorités, en langage simple. Découvrez notre service IT et cybersécurité.