Sécurité d’un site web : l’essentiel pour une PME

Les risques réels pour un site de PME

On imagine souvent le piratage comme une attaque ciblée contre une grande entreprise. Pour un site de PME, la menace est surtout automatique : des programmes parcourent le web en permanence à la recherche de portes mal fermées.

Un site piraté peut aussi être signalé comme dangereux par les navigateurs et par Google, ce qui fait fuir les visiteurs bien après la réparation.

La liste de vérification indispensable

Ces mesures ne demandent pas d’être expert. La plupart se vérifient en une heure avec votre prestataire.

• HTTPS partout : le cadenas s’affiche sur toutes les pages, et l’adresse en http redirige vers https.
• Double authentification sur tous les comptes sensibles : registraire du domaine, hébergement, messagerie, espace de gestion, compte de paiement.
• Des mots de passe uniques et longs, gérés dans un gestionnaire de mots de passe, jamais partagés par courriel.
• Un compte par personne, avec seulement les droits nécessaires, retiré au départ de la personne.
• Des mises à jour régulières des composants du site, prises en charge par le prestataire.
• Des sauvegardes automatiques, stockées ailleurs que sur le site, avec une restauration déjà testée.
• Des formulaires protégés contre les robots, et des données reçues limitées à l’utile.
• Un nom de domaine à votre nom, en renouvellement automatique. Voir nom de domaine et hébergement.
• Des accès documentés : qui a accès à quoi, rangé en lieu sûr.

La double authentification sur la messagerie et le compte du domaine est la mesure qui protège le plus pour le moins d’effort : ce sont les deux clés de toute votre présence en ligne.

Le niveau de risque selon le type de site

Sur nos plateformes, l’accès aux données est contrôlé par des règles appliquées côté serveur, pas seulement dans l’interface : un utilisateur ne peut lire ou modifier que ce qui le concerne, même en contournant l’application. Les espaces privés sont exclus de Google. Voir développement SaaS et site avec gestion.

Paiements : ne jamais stocker de carte bancaire

Un site qui encaisse des paiements ne devrait jamais voir passer ni stocker les numéros de carte. Le paiement est confié à un prestataire spécialisé, qui porte les exigences de sécurité du secteur bancaire. C’est le rôle de Stripe sur nos sites et plateformes : la saisie de la carte se fait dans un module sécurisé fourni par Stripe, et le site ne reçoit qu’une confirmation.

• Activez la double authentification sur le compte du prestataire de paiement.
• Limitez le nombre de personnes qui ont accès aux remboursements.
• Surveillez les alertes de paiements suspects et les contestations.
• Ne demandez jamais un numéro de carte par courriel, formulaire ou téléphone pour le saisir vous-même.

Le sujet est détaillé dans notre guide paiement en ligne avec Stripe.

Données personnelles : RGPD et Loi 25

Dès que votre site collecte des noms, des courriels ou des numéros de téléphone, vous êtes responsable de leur protection. En France, c’est le RGPD ; au Québec, la Loi 25, qui exige notamment un responsable de la protection des renseignements personnels et une politique de confidentialité en termes clairs.

• Ne collectez que les données utiles : un formulaire de contact n’a pas besoin de la date de naissance.
• Sachez où sont stockées les données, et qui peut y accéder.
• Supprimez ce qui n’est plus utile, au bout d’une durée que vous avez fixée.
• Tenez à jour votre politique de confidentialité.

Les deux textes prévoient des obligations en cas de fuite de données. Leurs modalités précises dépendent de votre situation : faites-vous accompagner par un juriste. Voir mentions légales et RGPD et Loi 25 et site web.

Les questions à poser à votre prestataire

La sécurité d’un site se décide en grande partie au moment de sa conception et dans le contrat de maintenance. Avant de signer, ou lors d’un point annuel, posez ces questions.

• Qui applique les mises à jour de sécurité, à quelle fréquence, et comment suis-je prévenu ?
• Où sont les sauvegardes, à quelle fréquence sont-elles faites, et quand une restauration a-t-elle été testée pour la dernière fois ?
• Les règles d’accès aux données sont-elles appliquées côté serveur ?
• Qui a accès aux comptes techniques de mon site, et comment ces accès sont-ils retirés ?
• Que se passe-t-il, et en combien de temps, si mon site est piraté un dimanche ?
• Où sont hébergées les données de mes clients ?

Ces points relèvent de l’hébergement et de la maintenance. Pour une boutique, voir aussi boutique en ligne aux Antilles ; pour une plateforme, créer un SaaS.

Que faire si votre site est piraté

1. 01
   Garder son calme et constater

   Captures d’écran, date, heure, ce qui a changé. Ne supprimez rien dans la précipitation.

2. 02
   Prévenir le prestataire

   Il peut mettre le site hors ligne, analyser l’origine et restaurer une sauvegarde saine.

3. 03
   Changer tous les mots de passe

   Depuis un appareil sain : domaine, hébergement, messagerie, espace de gestion, paiement. Activer la double authentification partout.

4. 04
   Corriger la cause

   Une restauration sans correction de la faille sera piratée à nouveau.

5. 05
   Évaluer l’impact sur les données

   Des données clients ont-elles pu être consultées ? Si oui, des obligations de notification peuvent s’appliquer : demandez conseil.

6. 06
   Vérifier Google

   Dans la Search Console, contrôlez les alertes de sécurité et demandez un réexamen une fois le site nettoyé.

7. 07
   Tirer les leçons

   Ce qui a manqué devient une règle : sauvegardes, mises à jour, accès.