Comment sécuriser son site internet : 6 mesures efficaces

Sécuriser son site internet repose sur cinq piliers : un certificat SSL actif, des mises à jour régulières du CMS et de ses extensions, un hébergement fiable, des accès verrouillés et des sauvegardes testées. Ces mesures bloquent la grande majorité des attaques automatisées, quelle que soit la taille du site.

La menace ne vise pas que les grands comptes. Le dispositif cybermalveillance.gouv.fr a traité plus de 500 000 demandes d’assistance en 2025, avec une hausse de 73 % du nombre d’entreprises accompagnées en un an. Les attaquants scannent le web en continu avec des robots : un site vitrine mal maintenu constitue une cible aussi rentable qu’une boutique en ligne, ne serait-ce que pour héberger du phishing ou rediriger du trafic.

Voici les six chantiers à traiter, dans l’ordre où ils rapportent le plus.

Activer le HTTPS avec un certificat SSL valide

Le protocole HTTPS chiffre les échanges entre le navigateur du visiteur et votre serveur. Sans lui, tout transite en clair : identifiants, coordonnées saisies dans un formulaire, données de paiement. Un attaquant positionné sur le réseau (Wi-Fi public, par exemple) peut lire ou modifier ces échanges.

Le HTTPS est devenu la norme absolue. Selon le rapport de transparence de Google, 2025, environ 99 % du temps de navigation sous Chrome se passe déjà sur des pages HTTPS. Un site resté en HTTP affiche une mention « Non sécurisé » dans la barre d’adresse, fait fuir les visiteurs et part avec un handicap de référencement, Google utilisant le HTTPS comme signal de classement depuis 2014.

Obtenir et renouveler votre certificat

Le certificat SSL/TLS authentifie votre domaine et rend le chiffrement possible. Trois points à régler :

• Le type de certificat : une validation de domaine (DV) suffit pour un site vitrine ou un blog ; les validations d’organisation (OV) ou étendues (EV) s’adressent aux sites manipulant des données sensibles
• La source : l’autorité Let’s Encrypt délivre des certificats gratuits reconnus par tous les navigateurs, utilisés par plus de 225 millions de sites selon la Linux Foundation
• Le renouvellement : un certificat Let’s Encrypt expire au bout de 90 jours ; automatisez son renouvellement, un certificat expiré affiche une page d’erreur bloquante à chaque visiteur

Forcer la redirection et traquer le contenu mixte

Installer le certificat ne suffit pas. Configurez une redirection permanente (code 301) de toutes les URL HTTP vers leur version HTTPS, puis activez l’en-tête HSTS pour que les navigateurs refusent toute connexion non chiffrée. Chassez ensuite le contenu mixte : une image ou un script encore appelé en HTTP sur une page HTTPS déclenche des avertissements et ouvre une brèche. La console du navigateur liste ces ressources en quelques secondes.

Vérifiez enfin la version du protocole servie par votre serveur. Les versions TLS 1.0 et 1.1 sont dépréciées depuis 2020 et présentent des faiblesses connues : votre configuration doit imposer TLS 1.2 au minimum, TLS 1.3 de préférence. Un test en ligne gratuit comme celui de Qualys SSL Labs note votre configuration en deux minutes et pointe les réglages à corriger, sans compétence technique particulière.

Mettre à jour le CMS, les extensions et le thème

Un logiciel non mis à jour est la porte d’entrée favorite des attaques automatisées. Chaque faille corrigée par un éditeur est documentée publiquement : les robots malveillants l’exploitent sur les sites en retard dans les heures qui suivent la publication du correctif.

Les chiffres donnent la mesure du problème sur WordPress, qui motorise une large part du web. Selon Patchstack, 2025, plus de 11 000 nouvelles vulnérabilités ont été recensées dans l’écosystème WordPress en un an, en hausse de 42 %. Environ 9 sur 10 concernent les extensions, le cœur du CMS n’étant impliqué que dans une poignée de cas.

La routine à installer :

• Les mises à jour de sécurité : activez l’application automatique des versions mineures du cœur du CMS
• Extensions et thèmes : passage en revue hebdomadaire, avec sauvegarde préalable avant toute mise à jour majeure
• Ménage régulier : supprimez (pas seulement désactivez) les extensions et thèmes inutilisés, chacun reste une surface d’attaque
• Sélection à l’entrée : avant d’installer une extension, vérifiez sa date de dernière mise à jour, son nombre d’installations actives et la réactivité de son développeur
• Veille : l’ANSSI consacre un guide entier à la mise en œuvre sécurisée d’un CMS, qui recommande notamment de s’abonner aux alertes de sécurité de votre éditeur

Une précaution avant les mises à jour majeures : testez-les sur une copie du site plutôt qu’en production. La plupart des hébergeurs proposent un environnement de préproduction (staging) en un clic. Vous y validez que la nouvelle version ne casse ni l’affichage ni les fonctionnalités, puis vous basculez sereinement. Une mise à jour ratée en pleine journée coûte plus cher que les dix minutes de ce détour.

Ces réflexes rejoignent les bonnes pratiques de cybersécurité applicables à tout le système d’information : le site web n’est qu’un maillon parmi d’autres, mais c’est le plus exposé.

Choisir un hébergement web pensé pour la sécurité

Votre site hérite des forces et des faiblesses de son serveur. Un code irréprochable ne protège rien si la machine qui l’héberge tourne avec des services obsolètes, sans pare-feu ni isolation entre clients. L’ANSSI place d’ailleurs la sécurisation du serveur d’hébergement en tête de ses recommandations pour les sites internet, avant même les considérations applicatives.

Concrètement, un hébergeur se juge sur des garanties vérifiables plutôt que sur des promesses marketing :

• Certificat SSL inclus et installable en un clic, renouvellement automatique compris
• Protection anti-DDoS en amont, pour absorber les attaques par saturation avant qu’elles n’atteignent votre site
• Sauvegardes automatiques avec restauration accessible depuis votre espace client
• Le taux de disponibilité contractuel (visez 99,9 % ou plus) et infrastructure localisée en France ou en Europe, un point qui simplifie votre conformité RGPD
• Support technique réactif, joignable 7 jours sur 7 : lors d’un incident, chaque heure compte

Le choix mérite le même sérieux que celui d’un prestataire informatique : Mettez votre site en ligne avec notre partenaire si vous cherchez un hébergeur français qui coche ces cases, avec SSL gratuit inclus, protection anti-DDoS, sauvegardes intégrées et un support disponible 7 jours sur 7 sur une infrastructure à 99,9 % de disponibilité.

Côté configuration, appliquez le principe du juste besoin : désactivez les services inutiles (FTP non chiffré, listing des répertoires), limitez l’accès aux interfaces d’administration à des adresses IP connues quand c’est possible, et séparez les environnements de test et de production. Pensez aussi au nom de domaine : verrouillez-le chez votre registrar (protection contre le transfert frauduleux) et activez la double authentification sur ce compte, souvent oublié alors qu’il contrôle tout.

Verrouiller les accès au site

Le piratage de compte constitue la première menace visant les professionnels : il représente 21 % des parcours d’assistance aux entreprises et associations selon cybermalveillance.gouv.fr, 2025. Sur un site web, un seul compte administrateur compromis livre l’intégralité du contenu, des données clients et du code.

Des mots de passe solides et une double authentification

Les attaques par force brute testent des millions de combinaisons sur votre page de connexion. Les contre-mesures tiennent en quatre gestes :

• Adoptez des mots de passe longs (12 caractères minimum) et uniques par service, conformément aux recommandations de la CNIL, stockés dans un gestionnaire de mots de passe
• Activez la double authentification (2FA) sur tous les comptes d’administration : même volé, le mot de passe seul ne suffit plus
• Limitez les tentatives de connexion échouées et bannissez temporairement les adresses IP insistantes
• Renommez ou masquez l’URL de connexion par défaut de votre CMS, ciblée en priorité par les robots

Beaucoup d’identifiants se volent en amont, par hameçonnage. Savoir se protéger du phishing et des ransomwares protège donc directement votre site : le faux email « votre hébergement expire » reste un grand classique pour capturer des accès.

Des droits limités au strict nécessaire

Chaque utilisateur du site doit disposer du niveau de privilège minimal pour son travail. Un rédacteur n’a pas besoin d’installer des extensions ; un prestataire ponctuel n’a pas besoin d’un compte permanent. Passez en revue la liste des comptes chaque trimestre, supprimez les accès des personnes parties, et n’utilisez jamais le compte administrateur pour les tâches quotidiennes de publication. Moins de comptes à hauts privilèges, c’est moins de portes à défoncer.

Le même principe vaut pour les accès techniques. Remplacez le FTP en clair par du SFTP ou du FTPS, attribuez un identifiant distinct à chaque intervenant plutôt qu’un compte partagé, et journalisez les connexions. Un accès nominatif rend chaque action traçable : en cas d’incident, vous savez par quelle porte l’attaquant est entré, et vous ne révoquez que le compte concerné au lieu de tout couper.

Sauvegarder votre site et tester la restauration

Aucune protection n’est infaillible. La sauvegarde est votre filet : elle transforme un piratage ou une erreur de manipulation en incident de quelques heures au lieu d’une catastrophe définitive. Les attaquants le savent : d’après le rapport Veeam, 2025, 89 % des organisations touchées par un ransomware ont vu leurs sauvegardes elles-mêmes prises pour cible.

Pour un site web, la règle éprouvée reste la stratégie 3-2-1 de sauvegarde : trois copies, deux supports, une copie hors site. Appliquée au web, elle se traduit ainsi :

• Une sauvegarde automatique quotidienne chez l’hébergeur (fichiers et base de données)
• Une copie externalisée vers un stockage indépendant du serveur, cloud ou local
• Une rétention d’au moins 30 jours, car une compromission se découvre parfois des semaines après l’intrusion

Le point que presque tout le monde néglige : tester la restauration. Une sauvegarde jamais restaurée n’a aucune valeur prouvée. Programmez un test complet par trimestre sur un environnement de préproduction, chronométrez-le, documentez la procédure. Le jour où le site tombe, vous exécutez une routine connue au lieu d’improviser sous pression.

Protéger les formulaires et surveiller l’activité

Les formulaires (contact, commentaires, inscription, recherche) constituent les points d’entrée où le visiteur écrit dans votre système. Chacun doit être traité comme une zone à risque : injection SQL, scripts malveillants (XSS), spam massif. Validez et filtrez systématiquement les données saisies côté serveur, ajoutez un CAPTCHA ou un champ piège contre les robots, et modérez les commentaires avant publication. Les données personnelles collectées engagent aussi votre responsabilité : la CNIL rappelle que la sécurité des traitements est une obligation légale, détaillée dans notre guide du RGPD en entreprise.

Même vigilance pour les briques tierces : scripts de statistiques, widgets, passerelles de paiement. Chaque service externe chargé sur vos pages exécute du code chez vos visiteurs. Réduisez leur nombre et tenez-les à jour comme le reste.

Reste la surveillance, qui transforme la sécurité en processus continu plutôt qu’en grand ménage annuel :

• Journaux d’accès : un pic de requêtes sur la page de connexion ou des erreurs 404 en rafale signalent une reconnaissance en cours
• Contrôle d’intégrité : un scan régulier détecte les fichiers modifiés ou ajoutés à votre insu
• Alertes externes : Google Search Console vous notifie si votre site est signalé pour malware ou phishing
• Supervision de disponibilité : un service de monitoring vous prévient dans la minute quand le site tombe

Un pare-feu applicatif (WAF), proposé par la plupart des hébergeurs sérieux ou via un CDN, filtre en prime les requêtes malveillantes connues avant qu’elles n’atteignent votre CMS.

Et si le pire arrive malgré tout ? Gardez une procédure courte et connue d’avance. Isolez le site (mode maintenance ou coupure), changez immédiatement tous les mots de passe (CMS, hébergement, FTP, base de données, registrar), restaurez une sauvegarde antérieure à la compromission, puis identifiez et corrigez la faille d’origine avant de rouvrir. Le dispositif cybermalveillance.gouv.fr propose un parcours d’assistance dédié au piratage de site et met en relation avec des prestataires référencés. Si des données personnelles ont fuité, la notification à la CNIL sous 72 heures est une obligation légale.

Prochaine étape : auditez votre site cette semaine sur les six points, dans l’ordre. Certificat SSL et redirections, inventaire des extensions, garanties de l’hébergeur, comptes et double authentification, test de restauration, activation des alertes. Comptez une demi-journée de travail pour fermer les portes que les robots testeront cette nuit.