Sécuriser le site de son entreprise : les 10 points à vérifier

Par où commencer quand on n'a ni temps ni budget

Parmi les incidents déclarés par les TPE-PME, l'hameçonnage arrive en tête (43 %), puis les failles de sécurité non corrigées (18 %) et la consultation de sites vérolés (11 %). Trois gestes répondent à cela.

Les 10 points, un par un

• 1

  Une connexion sécurisée (HTTPS)

  Si on ne le fait pas : les échanges avec votre site peuvent être lus en route, et le navigateur affiche un avertissement à vos visiteurs.

  Comment le vérifier : l'adresse commence par https, aucun avertissement ne s'affiche, et l'ancienne adresse en http renvoie vers la version sécurisée.

• 2

  Des mots de passe solides et uniques

  Si on ne le fait pas : un mot de passe volé ailleurs ouvre aussi l'administration de votre site, votre hébergeur ou votre messagerie.

  Comment le vérifier : chaque accès a son mot de passe ; un gestionnaire de mots de passe évite de les réutiliser.

• 3

  Des comptes administrateur maîtrisés

  Si on ne le fait pas : le compte d'un ancien prestataire ou d'un salarié parti reste une porte d'entrée.

  Comment le vérifier : faites la liste des comptes, supprimez ceux qui ne servent plus et ne gardez que les droits nécessaires.

• 4

  Des mises à jour faites

  Si on ne le fait pas : un composant abandonné ou jamais mis à jour est une porte ouverte.

  Comment le vérifier : le système du site, ses extensions et ses thèmes sont à jour, et plus aucun n'est abandonné par son éditeur.

• 5

  Des sauvegardes qui se restaurent

  Si on ne le fait pas : après un piratage ou une panne, vous n'avez rien de sain à remettre en ligne.

  Comment le vérifier : une sauvegarde stockée ailleurs que sur le site, restaurée au moins une fois pour de vrai.

• 6

  Des formulaires qui protègent les données

  Si on ne le fait pas : les messages de vos clients peuvent être lus par d'autres, ou rester stockés sans raison.

  Comment le vérifier : l'envoi passe par une connexion sécurisée, les messages ne sont lisibles que par les bonnes personnes, un antispam limite les abus.

• 7

  Des pages d'administration peu visibles

  Si on ne le fait pas : n'importe qui peut multiplier les essais de mots de passe sur la page de connexion.

  Comment le vérifier : la page n'est pas livrée avec ses réglages par défaut et les tentatives répétées sont limitées.

• 8

  Des cookies et un bandeau conformes

  Si on ne le fait pas : des traceurs se déposent chez vos visiteurs sans leur accord.

  Comment le vérifier : les traceurs non essentiels ne se déposent qu'après accord. Les recommandations sont sur cnil.fr.

• 9

  Les mentions légales et le RGPD

  Si on ne le fait pas : vos clients ne savent pas ce que vous collectez ni comment exercer leurs droits.

  Comment le vérifier : mentions légales à jour, politique de confidentialité fidèle à ce que vous collectez, moyen d'exercer ses droits.

• 10

  Une réaction prévue en cas de problème

  Si on ne le fait pas : le jour où cela arrive, on perd des heures à chercher qui prévenir et où sont les sauvegardes.

  Comment le vérifier : qui prévenir, qui coupe les accès, où sont les sauvegardes : c'est écrit. Voir aussi les gestes en cas de site piraté (lien plus bas).

En cas d'incident, voyez que faire si votre site est piraté.

Le maillon humain

Si c'est vous qui tenez l'informatique, la sécurité du site commence par vous : vos mots de passe, vos accès, les messages que vous ouvrez. Parlez-en aussi à votre équipe, et à toute personne qui a un accès au site.

Le faire faire

Notre contrôle de la sécurité de votre site parcourt ces points pour vous. Le diagnostic est gratuit et vous recevez une estimation du prix sous 24 h : remplissez le formulaire ci-dessous.