Check-list de sécurité web pour les petites entreprises
En bref : utilisez HTTPS partout, gardez vos logiciels à jour, conservez des sauvegardes testées hors du serveur, activez la connexion en deux étapes pour les comptes de votre site, de votre hébergeur, de votre domaine et de votre messagerie, ajoutez des en-têtes de sécurité, publiez SPF et DMARC, protégez votre domaine contre l’expiration et le transfert, et revérifiez votre site régulièrement. Chaque point ci-dessous renvoie à un correctif pas à pas.
Comptes et accès
- Connexion en deux étapes sur l’administration du site, le panneau d’hébergement, le registraire du domaine, la messagerie et le prestataire de paiement.
- Un gestionnaire de mots de passe et un mot de passe unique pour chaque compte.
- Supprimez les anciens comptes d’employés, d’agences et de test. Donnez à chacun uniquement le rôle dont il a besoin.
Logiciels
- CMS, extensions et thèmes à jour, avec mises à jour automatiques quand c’est sans risque. Trouvez les extensions obsolètes.
- Supprimez les extensions et thèmes inutilisés et les anciennes copies du site (dossiers de préproduction, sauvegardes dans la racine web).
- Suivez la check-list de durcissement WordPress si vous utilisez WordPress.
Sauvegardes
- Des sauvegardes quotidiennes automatiques des fichiers et de la base de données, stockées hors du serveur.
- Au moins une copie que le site lui-même ne peut pas supprimer (pour qu’un rançongiciel ou un pirate ne puisse pas l’effacer).
- Testez une restauration tous les quelques mois. Une sauvegarde jamais restaurée est un espoir, pas un plan.
HTTPS et en-têtes
- Un certificat valide à renouvellement automatique, TLS 1.2 ou plus uniquement, redirection de HTTP vers HTTPS. Vérification SSL en 6 points.
- HSTS, X-Content-Type-Options, protection contre l’intégration en cadre et Referrer-Policy. En-têtes à copier-coller.
- Une Content-Security-Policy, au moins sur les pages de paiement. Guide CSP.
- Secure, HttpOnly et SameSite sur les cookies. Guide des attributs de cookies.
- Aucun numéro de version du serveur, de PHP ou du CMS visible. Comment les masquer.
E-mail et domaine
- SPF, DKIM et DMARC pour votre domaine. Les enregistrements à copier.
- Domaine en renouvellement automatique, avec verrouillage chez le registraire et connexion en deux étapes chez le registraire.
- Un fichier security.txt pour qu’on puisse vous signaler des problèmes.
Paiements
- Privilégiez les pages ou champs de paiement hébergés par votre prestataire, pour que les numéros de carte ne passent jamais par votre serveur.
- Surveillez les scripts de votre page de paiement. Bloquer les skimmers au paiement.
Surveillance et réaction
- Revérifiez votre site après chaque changement et au moins une fois par mois.
- Notez qui appeler si le site est piraté : votre hébergeur, votre développeur, votre prestataire de paiement.
- Connaissez les signes d’un piratage. Comment savoir si WordPress est piraté.
Questions fréquentes
Quel est le point le plus important de cette liste ?
Garder les logiciels à jour, suivi de près par la connexion en deux étapes et des sauvegardes testées. La plupart des piratages de petits sites exploitent des vulnérabilités connues et déjà corrigées, ou des mots de passe réutilisés.
Ai-je besoin d’une extension de sécurité ?
Elle peut aider à protéger la connexion et à surveiller les fichiers, mais elle ne remplace ni les mises à jour, ni les sauvegardes, ni la connexion en deux étapes.
Combien de temps prend cette check-list ?
La plupart des petits sites peuvent traiter les points comptes, mises à jour et en-têtes en un après-midi. Les enregistrements e-mail et les sauvegardes peuvent nécessiter votre hébergeur ou votre fournisseur de messagerie.