Sécuriser un site internet : HTTPS, OWASP, sauvegardes
Pour sécuriser un site internet, appliquez dans cet ordre ce que disent les guides officiels : HTTPS partout, composants à jour, accès d'administration restreints, sauvegardes testées et hors ligne, puis contrôle des failles du Top 10 OWASP sur ce que vous avez développé. La CNIL résume ce socle dans une fiche de mars 2024. Aucune liste de contrôle ne rend un site invulnérable, mais ce socle ferme les entrées les plus courantes.
Je vends de la maintenance et du développement, notez cet intérêt. Toutes les recommandations ci-dessous renvoient à des sources publiques que vous pouvez lire sans moi.
HTTPS : ce qu'il protège et ce qu'il ne protège pas
Le premier point de la fiche de la CNIL sur les sites web concerne le chiffrement : obtenir un certificat adapté, utiliser uniquement les versions récentes de TLS (le protocole qui fait fonctionner HTTPS) et le rendre obligatoire pour les pages d'authentification et celles qui transmettent des données personnelles. L'aide-mémoire de l'OWASP est plus précis : TLS 1.3 par défaut, TLS 1.2 toléré pour la compatibilité, TLS 1.0 et 1.1 désactivés. Il recommande aussi l'en-tête HSTS, qui demande au navigateur de toujours passer par HTTPS.
Votre hébergeur fournit peut-être déjà le certificat. La vraie question à poser à votre prestataire est donc celle de la configuration : les anciennes versions sont-elles coupées, et les adresses en HTTP redirigent-elles bien vers HTTPS ? Mais le cadenas ne dit rien de l'état du site : une extension vulnérable reste exploitable, même en HTTPS.
Mises à jour et accès : le socle le plus rentable
La CNIL demande de limiter le nombre de composants, d'assurer une veille et de les mettre à jour régulièrement. Le premier conseil est souvent négligé : chaque extension installée ajoute du code à surveiller. Sur WordPress, la documentation rappelle que les anciennes versions ne reçoivent plus de correctifs de sécurité, et que seul ce qui doit écrire sur le serveur doit en avoir le droit.
Pour les accès, la CNIL demande de réserver l'administration aux personnes habilitées, et déconseille les comptes génériques partagés. Elle déconseille aussi de placer une base de données sur un serveur directement accessible depuis Internet. Faites l'exercice simple : combien de personnes ont un compte administrateur, et combien ont quitté votre entreprise ou leur mission ? La double authentification, recommandée par WordPress pour ces comptes, complète utilement cet inventaire.
Sauvegardes : le seul remède quand le reste a échoué
La recommandation de la CNIL tient en quelques exigences : sauvegardes fréquentes, au moins une copie sur un site géographiquement distinct, une copie isolée hors ligne, protection équivalente à celle des données d'origine, et surtout tests réguliers de restauration. Elle cite la règle 3-2-1 de l'ANSSI : trois copies, sur deux supports différents, dont une hors ligne.
La copie hors ligne répond à un scénario précis : si un attaquant accède à votre serveur, il peut aussi atteindre les sauvegardes qui s'y trouvent. Et le test compte plus que la sauvegarde elle-même, car on ne découvre souvent une archive inutilisable que le jour où on en a besoin.
OWASP : à quoi sert le Top 10 pour un dirigeant
L'OWASP est une fondation qui publie des références libres sur la sécurité applicative. Sa dernière édition, le Top 10:2025, classe en tête le contrôle d'accès défaillant, puis les erreurs de configuration et les failles de la chaîne d'approvisionnement logicielle (les bibliothèques et composants tiers). La CNIL demande explicitement de se protéger contre ces attaques, comme les injections SQL et les failles XSS.
| Type de site | Priorité réaliste | Pour aller plus loin |
|---|---|---|
| Vitrine sans compte | Mises à jour, HTTPS, sauvegardes, accès | Réduire les extensions, voire passer à un site statique |
| Boutique en ligne | Le socle, plus la surveillance des paiements et des comptes | Tests de vulnérabilité avant chaque mise en production |
| Portail ou application métier | Le socle, plus le contrôle d'accès testé sur chaque écran | Revue de code et test d'intrusion |
Vous n'avez pas besoin de maîtriser cette liste. Demandez à votre prestataire comment il traite le premier point : si un client modifie un numéro dans l'adresse, peut-il voir la facture d'un autre ? La réponse vous en dira beaucoup. La CNIL suggère aussi des tests de vulnérabilité réguliers avec des outils comme OWASP ZAP. Pour un audit plus approfondi, la méthode de référence est le Web Security Testing Guide de l'OWASP.
Quand faire appel à quelqu'un d'autre
Si vous traitez des données de santé, des paiements en propre, ou si un contrat vous impose une attestation d'audit, un indépendant généraliste comme moi ne suffit pas : passez par un auditeur spécialisé et indépendant, qui ne contrôlera pas son propre code. Si votre site vitrine n'évolue jamais et ne contient aucune donnée, un site statique peut réduire le besoin de maintenance. Pour élargir le sujet au reste de l'entreprise, voyez aussi l'essentiel de la cybersécurité pour une PME.
Si vous subissez déjà une attaque, suivez la procédure en cas de site piraté. Sinon, voyez mon offre de maintenance et hébergement et décrivez-moi votre site. Je ne promets pas un risque nul, mais un plan écrit de ce qui est fait, quand et par qui.