Sécuriser son site web

La plupart des sites ne sont pas visés personnellement : ils sont balayés par des robots qui exploitent des failles connues et des mots de passe faibles. Se protéger, c'est surtout fermer ces portes-là.

Rien d'exotique ici — de la discipline. Pour l'authentification applicative avancée, voir ZAIA.

01 — Le transport

HTTPS partout, sans exception

Certificat TLS gratuit (Let's Encrypt), redirection de tout le HTTP vers HTTPS, en-tête HSTS. Un formulaire en HTTP simple expose les données saisies.

02 — Les mises à jour

La première cause d'intrusion

Cœur, thèmes, extensions, bibliothèques : appliquez les correctifs vite. Une faille publiée est exploitée en masse en quelques jours.

03 — Les accès

Mots de passe forts, 2FA, moindre privilège

• Mots de passe longs et uniques, gérés dans un gestionnaire.
• Double authentification sur l'administration.
• Un compte administrateur par personne, rôles limités au besoin réel.
• Suppression des comptes inutilisés.

04 — Les sauvegardes

La seule vraie assurance

Sauvegardes automatiques, stockées ailleurs que sur le serveur, avec une restauration testée au moins une fois. Une sauvegarde jamais testée n'en est pas une.

05 — Détecter et réagir

Voir venir, savoir quoi faire

• Pare-feu applicatif (WAF) et limitation des tentatives de connexion.
• Journalisation des connexions et des changements.
• Une procédure écrite : qui contacter, comment isoler, comment restaurer.

06 — Questions fréquentes

Questions fréquentes

Mon site est petit, suis-je une cible ?

Oui — les attaques sont automatisées et indifférentes à votre taille. Un petit site mal tenu est une proie facile.

Que faire si mon site est piraté ?

Isoler (mode maintenance), restaurer une sauvegarde saine, changer tous les mots de passe, mettre à jour, puis chercher la faille d'entrée avant de remettre en ligne.

Un pare-feu suffit-il ?

Non. Il réduit le bruit, mais mises à jour, mots de passe et sauvegardes restent la base.

07 — Ressources & liens

Où aller, concrètement