La sécurité d'un site web de petit commerce : la liste de base

Pourquoi un petit commerce est visé

Beaucoup de propriétaires pensent que leur site est trop petit pour intéresser des pirates. En réalité, la plupart des attaques sont automatiques : des robots parcourent le web à la recherche de n'importe quel site mal protégé, peu importe sa taille. Un site piraté peut servir à envoyer du pourriel, à rediriger vos visiteurs vers des arnaques ou à afficher du contenu qui fait fuir vos clients et nuit à votre place dans Google.

Aucun site n'est invulnérable. Le but est de fermer les portes faciles, pour que les robots passent à une autre cible, et de pouvoir revenir à la normale rapidement si un problème arrive.

HTTPS : le cadenas dans la barre d'adresse

HTTPS chiffre ce qui circule entre le visiteur et votre site, comme les formulaires de contact ou de réservation. Sans lui, les navigateurs affichent « Non sécurisé » et beaucoup de visiteurs repartent. Aujourd'hui, HTTPS devrait être inclus et renouvelé automatiquement par votre hébergeur. Vérifiez que votre adresse commence par https:// et que la version http:// redirige vers elle.

Les mises à jour, pour protéger son site web

Une grande partie des piratages vise des logiciels pas à jour. Sur WordPress, ce sont souvent les extensions (plugins) et les thèmes qui sont visés, surtout ceux qui ne sont plus entretenus par leur auteur. Chaque extension ajoutée est une porte de plus à surveiller.

• Faites les mises à jour régulièrement, ou confiez-les à quelqu'un qui s'y engage par écrit.
• Supprimez les extensions et les thèmes que vous n'utilisez pas, au lieu de seulement les désactiver.
• Évitez les extensions abandonnées depuis longtemps ou téléchargées hors des sources officielles.
• Faites une sauvegarde juste avant une grosse mise à jour.

Mots de passe et authentification à 2 facteurs

Un mot de passe volé suffit souvent pour tout perdre. Utilisez un mot de passe long et différent pour chaque service, gardé dans un gestionnaire de mots de passe. Activez ensuite l'authentification à 2 facteurs (un code sur votre cellulaire en plus du mot de passe) partout où c'est offert, en priorité sur ces 4 comptes :

• Le domaine (chez votre registraire) : celui qui le contrôle contrôle votre site et votre courriel.
• L'hébergement : il donne accès à tous les fichiers du site.
• La boîte courriel : elle sert à réinitialiser les mots de passe de tout le reste.
• L'admin du site : c'est là qu'on change les textes, les prix et les formulaires.

Des accès séparés pour les employés

Ne partagez pas un seul mot de passe avec toute l'équipe. Donnez à chaque employé son propre accès, avec seulement les droits dont il a besoin. Quand quelqu'un quitte l'entreprise, vous retirez son accès en un clic, sans changer le mot de passe de tout le monde.

Des sauvegardes automatiques, et testées

Une sauvegarde est votre plan B si tout le reste échoue. Elle doit être automatique, conservée ailleurs que sur le site lui-même, et couvrir les fichiers comme les données (rendez-vous, fiches clients). Surtout, quelqu'un doit avoir déjà essayé de la restaurer : une sauvegarde jamais testée est une promesse, pas une garantie.

Formulaires protégés contre le pourriel et les robots

Un formulaire de contact sans protection reçoit vite des dizaines de messages automatiques, et peut même servir à envoyer du pourriel en votre nom. Une vérification anti-robots discrète, une limite au nombre d'envois et une validation de ce qui est saisi règlent la plupart des cas sans nuire aux vrais clients.

Les données de vos clients et la Loi 25

Moins vous recueillez de renseignements, moins vous avez à protéger. Demandez seulement ce dont vous avez vraiment besoin : un nom et un téléphone suffisent souvent pour un rendez-vous. La Loi 25 vous oblige aussi à protéger ces renseignements et à savoir réagir en cas d'incident. Notre guide la Loi 25 et votre site web explique vos obligations.

Le domaine au nom de l'entreprise

Votre nom de domaine doit être enregistré au nom de votre entreprise, dans un compte que vous contrôlez, avec le renouvellement automatique activé. Un domaine expiré par oubli peut faire disparaître votre site et votre courriel du jour au lendemain, et il peut être racheté par quelqu'un d'autre. Un domaine au nom d'un ancien fournisseur peut devenir très difficile à récupérer.

Un courriel authentifié contre l'usurpation

Sans réglages, n'importe qui peut envoyer un faux courriel qui semble venir de votre adresse, par exemple une fausse facture à vos clients. 3 réglages techniques, ajoutés au domaine, empêchent cela et aident aussi vos vrais courriels à éviter le dossier des indésirables :

• SPF : la liste des serveurs qui ont le droit d'envoyer des courriels pour votre domaine.
• DKIM : une signature numérique qui prouve que le courriel vient bien de vous et n'a pas été modifié.
• DMARC : la consigne donnée aux boîtes de réception sur quoi faire avec un courriel qui échoue aux 2 premiers tests.

Liste de vérification : la sécurité de votre site web

Votre site web est piraté : quoi faire

1. 1Gardez votre calme et notez ce que vous voyez (captures d'écran, date, message reçu).
2. 2Prévenez votre développeur ou votre hébergeur tout de suite.
3. 3Changez les mots de passe du courriel, du domaine, de l'hébergement et de l'admin, à partir d'un appareil sain, et activez les 2 facteurs.
4. 4Retirez les accès que vous ne reconnaissez pas.
5. 5Faites restaurer une sauvegarde propre, datée d'avant le piratage, puis appliquez toutes les mises à jour.
6. 6Cherchez par où les pirates sont entrés, pour éviter que ça recommence.
7. 7Si des renseignements de clients ont pu être touchés, consignez l'incident et évaluez vos obligations selon la Loi 25.
8. 8Vérifiez que Google n'affiche pas d'avertissement sur votre site et que votre fiche Google n'a pas été modifiée. Notre guide sur la fiche Google entreprise montre où regarder.

Ce que fait JobeLabs

Les sites JobeLabs sont hébergés sur Cloudflare, avec HTTPS inclus. Le domaine est à votre nom et les mots de passe ne sont jamais écrits dans le code. L'abonnement Tranquillité, optionnel, à 49 $ par mois pendant 24 mois, inclut les mises à jour de sécurité et la surveillance, avec un bilan tous les 3 mois. Ça réduit beaucoup les risques, sans rendre un site invulnérable : personne ne peut honnêtement promettre ça. Pour bien choisir à qui confier votre site, lisez aussi choisir un développeur web.