Sécuriser un site internet : les mesures essentielles pour une entreprise.

01 — Les menacesPourquoi sécuriser un site internet : les attaques les plus courantes

Un site d'entreprise n'a pas besoin d'être connu pour être attaqué. Des outils automatisés permettent de parcourir Internet à grande échelle à la recherche de logiciels non mis à jour, d'interfaces d'administration exposées ou de mots de passe faibles. Votre site peut donc devenir une cible dès sa mise en ligne, sans avoir été choisi.

La référence internationale en la matière est le Top 10 de l'OWASP, dont l'édition 2025 classe les principales catégories de risques des applications web. En tête figurent le contrôle d'accès défaillant et les erreurs de configuration ; on y trouve aussi les défaillances de la chaîne d'approvisionnement logicielle (bibliothèques et composants tiers), l'injection, les défaillances d'authentification et les manques de journalisation et d'alerte.

Traduites en situations concrètes pour une PME, ces catégories donnent les scénarios suivants :

• Failles de CMS ou d'extensions : un WordPress, un thème ou un module non mis à jour, exploité par une faille déjà publiée.
• Mots de passe faibles ou réutilisés sur l'administration, l'hébergement ou la base de données.
• Injection : un formulaire ou une URL qui laisse passer une requête SQL ou un script malveillant.
• Défiguration : selon la fiche réflexe de cybermalveillance.gouv.fr, c'est le signe visible que l'attaquant a obtenu les droits de modifier le site, et donc potentiellement d'accéder à des données personnelles, bancaires ou commerciales.
• Rançongiciel : chiffrement des données et des serveurs, avec demande de rançon. La CNIL rappelle qu'il peut aussi atteindre les sauvegardes si elles ne sont pas isolées.
• Vol de données : fichiers clients, comptes, messages de formulaires.

À ces conséquences directes s'ajoute un effet moins connu : Google considère comme du spam le contenu injecté dans un site piraté, ce qui peut dégrader son référencement. Nous l'évoquons dans notre article sur la routine pour optimiser le SEO.

02 — Les fondationsMises à jour et réduction de la surface d'attaque

La première mesure de sécurité d'un site web n'a rien de sophistiqué : maintenir ses logiciels à jour. La CNIL, dans sa fiche « Sécuriser vos sites web, vos applications et vos serveurs », recommande d'installer rapidement les mises à jour critiques, avec une vérification automatique au moins hebdomadaire, et d'automatiser la veille sur les vulnérabilités, par exemple via les alertes du CERT-FR.

La même fiche recommande de limiter le nombre de composants installés. Chaque extension, chaque thème inactif, chaque outil oublié sur le serveur est une porte supplémentaire. Faites régulièrement l'inventaire et supprimez ce qui ne sert plus.

Côté serveur, la CNIL conseille de n'ouvrir que les ports nécessaires : pour un serveur web accessible uniquement en HTTPS, les ports 443 et 80 suffisent, le pare-feu bloquant le reste. Un pare-feu applicatif (WAF), placé devant le site, peut compléter ce dispositif en filtrant les requêtes manifestement malveillantes. Il ne remplace pas les mises à jour : il gagne du temps, il ne corrige pas la faille.

03 — Le chiffrementHTTPS, TLS et en-têtes de sécurité

Le HTTPS n'est plus une option. La CNIL recommande d'utiliser TLS en version 1.2 ou 1.3 sur tous les sites, de le rendre obligatoire sur toutes les pages et de vérifier sa bonne configuration. Si votre site utilise des cookies d'authentification, elle préconise d'imposer le HTTPS via l'en-tête HSTS et de positionner les attributs secure et HttpOnly sur ces cookies.

Les en-têtes HTTP de sécurité demandent au navigateur d'activer des protections supplémentaires. L'aide-mémoire OWASP sur les en-têtes HTTP recommande notamment :

• Strict-Transport-Security (HSTS) : force l'accès en HTTPS ;
• Content-Security-Policy : couche de défense contre l'injection de scripts (XSS), à configurer avec soin ;
• X-Content-Type-Options: nosniff : empêche le navigateur de deviner le type des fichiers ;
• frame-ancestors (ou à défaut X-Frame-Options) : empêche l'affichage de vos pages dans un cadre sur un autre site ;
• Referrer-Policy et Permissions-Policy : limitent les informations transmises et les fonctionnalités du navigateur accessibles.

Le même document déconseille en revanche l'ancien en-tête X-XSS-Protection, qui peut créer des failles. Il alerte aussi sur HSTS : mal configuré ou avec un certificat expiré, il peut bloquer vos visiteurs pendant toute sa durée de validité. Ce sont des réglages simples à poser, mais qui se testent.

04 — Les accèsProtéger l'administration et les formulaires

Authentification forte sur l'admin

La CNIL recommande d'appliquer aux administrateurs une politique de mots de passe plus stricte et d'utiliser l'authentification forte lorsque c'est possible. Son guide de la sécurité des données personnelles conseille de privilégier l'authentification multifacteur, et fixe par défaut une robustesse équivalente à 12 caractères minimum mêlant majuscules, minuscules, chiffres et caractères spéciaux. Un gestionnaire de mots de passe rend cette exigence tenable au quotidien.

Pour les interfaces d'administration exposées sur Internet, la CNIL va plus loin : en restreindre l'accès aux seules personnes autorisées et les protéger par des mesures supplémentaires, par exemple un VPN avec authentification forte. Changez aussi tous les mots de passe par défaut.

Moindre privilège

Chaque compte ne doit disposer que des droits dont il a besoin. Pour les bases de données, la CNIL recommande des comptes nominatifs pour les personnes, des comptes dédiés à chaque application, et le retrait des privilèges d'administration à ces comptes applicatifs. Les mots de passe des utilisateurs ne doivent jamais être stockés en clair, mais hachés avec un algorithme éprouvé comme bcrypt.

Limiter les tentatives de connexion

La CNIL demande de limiter le nombre de tentatives de connexion. Son guide cite comme mesures complémentaires la temporisation après plusieurs échecs, le captcha ou le blocage du compte après 10 échecs. Sur un serveur, des outils de type fail2ban appliquent ce principe en bloquant temporairement les adresses qui multiplient les échecs.

Formulaires et robots

Les formulaires de contact, de devis ou d'inscription sont la porte d'entrée privilégiée des injections et du spam automatisé. La CNIL recommande de se prémunir contre les injections SQL et de scripts. En pratique : valider côté serveur chaque champ reçu, utiliser des requêtes paramétrées, et ajouter un dispositif anti-robots proportionné (captcha, champ piège invisible, limitation du nombre d'envois).

05 — La résilienceSauvegardes 3-2-1 testées et journalisation

Aucune mesure n'empêche tout incident. La sauvegarde est ce qui permet de s'en relever. Le guide de la CNIL recommande des sauvegardes régulières, protégées au même niveau que les données d'origine (par exemple chiffrées), et qualifie d'état de l'art la règle dite « 3-2-1 » :

• 3 copies des données ;
• sur 2 supports différents ;
• dont 1 hors ligne.

La CNIL met en garde contre deux erreurs : conserver les sauvegardes sur les mêmes systèmes que les données sans les isoler, car un rançongiciel peut alors détruire les deux, et ne jamais vérifier qu'elles sont exploitables. D'où sa recommandation de tester régulièrement leur intégrité et la capacité à les restaurer.

La journalisation est l'autre moitié de la résilience. Sans journaux, impossible de savoir ce qui s'est passé. La CNIL recommande un système de journalisation des événements, protégé contre les altérations, et le traitement des alertes qu'il remonte. La fiche de cybermalveillance.gouv.fr conseille de consulter régulièrement les journaux du pare-feu et des serveurs exposés, notamment pour repérer les tentatives de mots de passe suspectes.

06 — Le RGPDSécurité des données et notification de violation sous 72 h

Dès que votre site collecte des données personnelles (formulaire, compte client, commande), la sécurité devient une obligation légale. Le RGPD, publié par la CNIL, l'organise principalement en trois articles :

La CNIL précise sur sa page « Notifier une violation de données personnelles » que le délai court à partir du moment où la violation est constatée. Si toutes les informations ne sont pas disponibles, une notification initiale peut être faite dans les 72 heures, complétée ensuite. Au-delà de ce délai, il faut justifier le retard. Dans tous les cas, même sans notification, l'incident doit être documenté en interne. Si votre hébergeur ou votre prestataire est sous-traitant, le RGPD l'oblige à vous prévenir dès qu'il a connaissance d'une violation.

07 — L'incidentQue faire si votre site est piraté

La fiche réflexe de cybermalveillance.gouv.fr sur la défiguration donne un ordre d'action valable pour la plupart des compromissions :

1. Si possible, déconnecter la machine d'Internet ou alerter votre hébergeur.
2. Récupérer les journaux du pare-feu, du proxy et des serveurs touchés.
3. Réaliser une copie complète de la machine attaquée, qui servira à l'enquête.
4. Identifier les données sensibles qui ont pu être copiées ou détruites.
5. Notifier la CNIL s'il y a eu violation de données personnelles.
6. Identifier l'origine de l'intrusion pour qu'elle ne se reproduise pas.
7. Déposer plainte auprès de la police, de la gendarmerie ou du procureur de la République, avec toutes les preuves.
8. Corriger toutes les failles et changer tous les mots de passe avant toute remise en ligne.

Restaurer une sauvegarde sans avoir compris l'origine de l'attaque revient souvent à remettre en ligne la même faille. La fiche conseille aussi de se faire assister au besoin par des professionnels qualifiés ; la plateforme cybermalveillance.gouv.fr en référence.

08 — La synthèseSécuriser un site internet : tableau et checklist

La checklist

1. Lister tous vos sites, sous-domaines et environnements en ligne, et retirer ceux qui ne servent plus.
2. Vérifier que CMS, thèmes, extensions et serveur sont à jour, et qu'une vérification au moins hebdomadaire est en place.
3. Supprimer les extensions et comptes inutilisés.
4. Contrôler que tout le site passe en HTTPS et que HSTS est actif.
5. Poser et tester les en-têtes de sécurité.
6. Activer l'authentification multifacteur sur toutes les administrations (site, hébergement, nom de domaine).
7. Changer les mots de passe par défaut et vérifier leur robustesse.
8. Limiter les tentatives de connexion et restreindre l'accès à l'administration.
9. Vérifier que les formulaires valident leurs données côté serveur et sont protégés contre les robots.
10. Mettre en place des sauvegardes 3-2-1, dont une hors ligne, et réaliser une restauration d'essai.
11. Activer la journalisation et désigner qui consulte les alertes.
12. Rédiger une procédure d'incident d'une page : qui prévenir, dans quel ordre, et comment notifier la CNIL sous 72 h.

Pour un site vitrine simple, une partie de ces mesures est déjà assurée par un hébergeur sérieux ou un CMS bien maintenu ; l'essentiel est alors de s'assurer que les mises à jour et les sauvegardes sont réellement faites. Pour un site qui traite des comptes clients ou des paiements, le niveau d'exigence monte nettement. Ces opérations font partie d'un bon contrat de maintenance ; nos formules de maintenance et infogérance démarrent à partir de 49 € HT par mois. Si vous hébergez vous-même vos sites, lisez aussi notre article sur l'hébergement sur ses propres serveurs. Pour un audit de votre situation, consultez notre offre cybersécurité ou prenez rendez-vous.

FAQ — Questions fréquentesSécuriser un site internet : vos questions