La plupart des problèmes de sécurité web qui touchent les petites entreprises ne sont pas des attaques sophistiquées. Ce sont l'équivalent numérique d'une porte laissée déverrouillée — un mot de passe faible réutilisé sur cinq comptes, un logiciel non mis à jour depuis deux ans, une extension que personne ne se souvient avoir installée. Rien de tout cela n'exige un service informatique dédié pour être corrigé ; il faut une courte liste d'habitudes, appliquées de façon constante.
Mots de passe et accès : la première ligne de défense
Un mot de passe réutilisé est la manière la plus courante par laquelle un compte est compromis — non pas parce que le site lui-même a été piraté, mais parce que le mot de passe a fuité ailleurs et a été testé sur tout ce que cette personne utilise par ailleurs. Un gestionnaire de mots de passe et des mots de passe uniques pour chaque compte ferment la majeure partie de cette brèche avec presque aucun effort continu une fois mis en place.
L'authentification à deux facteurs sur tout ce qui contrôle le site — le compte d'hébergement, le système de gestion de contenu, le registrar du domaine — ajoute une seconde vérification qui arrête l'écrasante majorité des tentatives d'intrusion automatisées, lesquelles reposent sur le fait qu'un mot de passe seul suffit. C'est une configuration de cinq minutes par compte, et c'est l'une des mesures de sécurité au meilleur retour disponibles pour une entreprise sans aucune équipe technique.
L'accès doit aussi être revu périodiquement : un ancien employé ou un ancien prestataire qui possède encore des identifiants de connexion est une porte que personne ne se rappelle avoir laissée ouverte. Retirer l'accès quand le rôle de quelqu'un se termine devrait être une étape standard, pas une réflexion après coup.
Maintenir les logiciels à jour
Un site construit sur un système de gestion de contenu, un ensemble d'extensions, ou tout logiciel tiers porte une obligation continue : ces composants reçoivent des correctifs de sécurité, et un site qui ne les applique jamais fonctionne avec des vulnérabilités connues et publiées que n'importe qui peut rechercher. Il s'agit moins d'une mise à jour isolée que d'une routine — vérifier et appliquer les mises à jour selon un calendrier régulier plutôt que de laisser un site intouché entre deux refontes, moment où la plupart de ces éléments deviennent obsolètes.
Sauvegardes : la mesure qui compte après qu'un problème est déjà survenu
Toutes les autres mesures de cette liste concernent la prévention. Les sauvegardes concernent ce qui se passe quand la prévention échoue malgré tout — et quelque chose finit toujours par arriver, quelle que soit la prudence d'une entreprise. Une sauvegarde récente, testée, stockée séparément du site en production, transforme une catastrophe potentielle en un après-midi passé à restaurer un fichier. Sans elle, le même incident peut signifier reconstruire un site à partir de rien, avec tout ce qu'il contenait.
Le mot « testée » compte autant que « récente ». Une sauvegarde qui n'a jamais réellement été restaurée est une sauvegarde dont personne ne peut être sûr qu'elle fonctionne réellement, et la première fois de découvrir qu'elle ne fonctionne pas ne doit pas être pendant un incident réel.
Ce qui n'a pas besoin d'arriver
Des outils de sécurité de niveau entreprise, une équipe de surveillance dédiée, ou un audit de sécurité formel ne sont pas ce dont la plupart des sites de petites entreprises ont besoin en premier, et les traiter comme des prérequis signifie souvent que rien n'est fait pendant que l'entreprise attend un budget ou une expertise qu'elle n'allouera peut-être jamais. La poignée de mesures ci-dessus — mots de passe uniques, authentification à deux facteurs, logiciels à jour et sauvegarde testée — couvre l'écrasante majorité des incidents réels qui touchent effectivement les sites de petites entreprises, et aucune n'exige de connaissances techniques spécialisées pour être mise en place.
Pourquoi cela fait partie du reste de l'entretien du site
Un site piraté ou défiguré ne coûte pas seulement du temps à réparer — il coûte la confiance de chaque visiteur qui le voit dans cet état, et interrompt directement tout ce pour quoi le site existe commercialement, dès cet instant jusqu'à sa restauration. L'entretien de la sécurité fait partie de la même discipline continue que traiter un site web comme un système d'entreprise plutôt que comme une brochure statique — ce n'est pas un projet ponctuel terminé au lancement, mais une responsabilité permanente tant que le site est en ligne. Notre équipe web intègre ces bases à chaque site dès le départ et les maintient à jour dans le cadre du support continu, plutôt que de traiter la sécurité comme le problème de quelqu'un d'autre à résoudre après coup.
