Les conseils pour protéger un site des pirates sont souvent présentés comme une longue checklist. Le problème est que tous les points de cette liste ne pèsent pas autant. Un petit nombre de mesures couvre la majorité des voies d'attaque qui mènent à de vraies compromissions, et savoir lesquelles traiter en priorité fait la différence entre une sécurité efficace et une sécurité d'apparence.
Les attaques contre les sites web sont presque entièrement automatisées. Des scanners sondent des millions de sites à la fois et testent les failles connues de certaines versions de logiciels, les mots de passe courants et les fichiers de configuration exposés. Un site n'a pas besoin d'avoir beaucoup de trafic ou d'être connu pour être visé. Il lui suffit d'être en ligne et d'utiliser quelque chose qui présente une faille connue. Pour mesurer ce qui est en jeu quand ces mesures manquent, lisez l'article sur pourquoi la sécurité d'un site web est importante.
Protéger votre site des pirates grâce à une authentification solide
Les attaques sur les identifiants figurent parmi les moyens les plus courants d'accéder à un site. Un mot de passe solide ne suffit pas à lui seul. Ce qui arrête vraiment les outils automatisés de force brute, c'est d'associer un mot de passe solide, une limitation du nombre d'essais et un second facteur d'authentification.
Des mots de passe solides et uniques
- Les mots de passe des comptes administrateur doivent être longs, aléatoires et propres au site. Pas réutilisés depuis un autre service
- Les mots de passe courts et ceux fondés sur des mots ou schémas courants sont testés en premier par les outils de force brute, qui peuvent essayer des milliers de combinaisons par minute
- Un gestionnaire de mots de passe génère et stocke des identifiants solides sans que vous ayez à les mémoriser
L'authentification à deux facteurs
- L'authentification à deux facteurs ajoute une seconde étape de vérification après le mot de passe pour se connecter au panneau d'administration
- Même si un mot de passe est volé lors d'une fuite de données ou d'une attaque d'hameçonnage, l'authentification à deux facteurs empêche l'attaquant de l'utiliser sans contrôler aussi le second facteur
- L'activer sur chaque compte administrateur est l'un des changements uniques les plus efficaces pour la sécurité d'un site
Des limites de tentatives de connexion
- Les outils de force brute testent des milliers de mots de passe en succession rapide. Une limite du nombre de connexions échouées avant de bloquer une adresse IP arrête cette méthode
- De nombreuses plateformes de sites web incluent la limitation des tentatives de connexion comme réglage intégré ou via une extension de sécurité
Supprimer les comptes inutilisés
- Chaque compte administrateur actif avec un mot de passe faible ou réutilisé est un point d'entrée possible
- Les comptes créés pour d'anciens employés, prestataires ou développeurs doivent être supprimés dès qu'ils ne sont plus nécessaires
Protéger votre site des pirates grâce à une bonne hygiène logicielle
Les logiciels obsolètes sont la catégorie de faille la plus exploitée sur les sites. Quand une faille de sécurité est trouvée et corrigée, les détails sont en général publiés avec le correctif. Les sites qui utilisent encore l'ancienne version deviennent alors une cible documentée et connue.
Appliquez les mises à jour dès qu'elles sont disponibles
- Les mises à jour de la plateforme du site, des plugins, des thèmes et des intégrations doivent être appliquées rapidement. Elles contiennent souvent des correctifs de sécurité, et les retarder laisse des failles connues ouvertes
- Configurer les mises à jour pour qu'elles s'appliquent automatiquement quand c'est possible supprime le risque de rater un correctif critique
Supprimez les plugins et thèmes inutilisés
- Les plugins et thèmes inactifs qui ne sont pas mis à jour restent vulnérables même quand ils ne sont pas actifs sur le site
- Les supprimer réduit la surface d'attaque sans rien changer sur le site en ligne
N'utilisez que des logiciels de sources fiables
- Les plugins, thèmes et extensions de sources non officielles sont un vecteur courant de diffusion de malwares
- N'utiliser que des logiciels de la boutique officielle de la plateforme ou de développeurs reconnus et établis réduit le risque d'installer du code déjà infecté
Comment le HTTPS protège-t-il votre site ?
Un certificat SSL et le HTTPS sont des exigences de base. Ils protègent les données en transit et indiquent aux moteurs de recherche que le site respecte les normes de sécurité minimales. Pour tous les détails sur la mise en place, lisez l'article sur ce qu'est un certificat SSL et comment il fonctionne.
Ce que fait le HTTPS
- Le HTTPS chiffre les données que les visiteurs envoient par les formulaires, les pages de connexion et les paiements, et empêche leur lecture si elles sont interceptées en transit
- Le certificat SSL vérifie aussi l'identité du site, ce qui protège contre certaines formes d'interception du trafic et d'usurpation
Ce que ne fait pas le HTTPS
- Le HTTPS n'empêche pas les attaques contre le site lui-même. L'injection SQL, le cross-site scripting, les tentatives de connexion par force brute et l'injection de malwares ne sont pas arrêtés par le HTTPS
- C'est une couche de protection, pas un substitut aux autres
En quoi un pare-feu applicatif web aide-t-il ?
Ce qu'il fait
- Un pare-feu applicatif web se place entre le trafic entrant et le site, et examine les requêtes avant qu'elles atteignent le serveur
- Il filtre les requêtes qui correspondent à des schémas d'attaque connus, dont les tentatives d'injection SQL, les charges de cross-site scripting et le trafic de sources malveillantes connues
- Les attaques qui n'atteignent jamais le serveur ne peuvent pas exploiter les failles du code du site
Pare-feu au niveau du réseau et pare-feu au niveau de l'application
- Les pare-feu au niveau du réseau filtrent le trafic au niveau de l'infrastructure, avant qu'il atteigne le serveur. Ils sont généralement fournis par les hébergeurs et les fournisseurs de CDN
- Les pare-feu au niveau de l'application fonctionnent au niveau du site et peuvent être plus précis sur les requêtes à autoriser selon le contenu et le comportement du site
- Les deux types ont des rôles différents et peuvent être utilisés ensemble
Pourquoi les sauvegardes font partie de la protection de votre site contre les pirates
Aucune mesure de sécurité n'élimine tous les risques. Quand quelque chose passe malgré tout, une sauvegarde saine détermine la vitesse de votre rétablissement et l'ampleur de vos pertes.
Ce que font les sauvegardes et que la prévention ne peut pas faire
- Les attaques par rançongiciel qui chiffrent les fichiers du site sont bien moins dommageables quand une sauvegarde saine récente existe. Restaurer depuis la sauvegarde supprime tout levier de l'attaquant
- Une sauvegarde saine donne aussi un point de référence vérifié pour comparer et identifier ce que l'attaquant a modifié
Ce qui rend une sauvegarde utile
- Les sauvegardes doivent être stockées séparément du serveur du site. Une sauvegarde sur le même serveur est compromise ou chiffrée avec tout le reste lors d'une attaque
- La fréquence des sauvegardes doit correspondre à la fréquence de changement du site. Un site mis à jour chaque jour a besoin de sauvegardes quotidiennes
- Tester qu'une sauvegarde peut vraiment être restaurée est aussi important que d'en avoir une. Une sauvegarde qui échoue à la restauration n'est pas une sauvegarde
Pour un guide complet sur la mise en place et la gestion des sauvegardes, lisez l'article sur comment sauvegarder votre site web. Pour savoir quoi faire si un malware est déjà sur votre site, lisez l'article sur ce qu'est un malware de site web et comment le supprimer.
Comment WEMASY gère la protection du site
L'infrastructure d'hébergement de WEMASY comprend un pare-feu et une atténuation des attaques DDoS au niveau du réseau. Les certificats SSL sont inclus dans chaque offre et appliqués automatiquement : tous les sites sont donc servis en HTTPS par défaut. Les mises à jour logicielles sont gérées au niveau de la plateforme, ce qui retire au propriétaire du site la responsabilité d'appliquer les correctifs.
Les sauvegardes sont incluses dans toutes les offres et gérées automatiquement, avec des options de restauration depuis le tableau de bord. L'authentification à deux facteurs est disponible pour l'accès au compte WEMASY, et l'activité de connexion est surveillée au niveau de la plateforme.
Découvrez ce qui est inclus avec le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Comment les pirates entrent-ils dans les sites web ?
La majorité des compromissions de sites passent par trois voies : l'exploitation de failles connues dans des logiciels obsolètes, l'accès par des mots de passe d'administrateur faibles ou volés, et l'injection de code malveillant par des plugins ou scripts tiers vulnérables. Des outils automatisés analysent en continu un grand nombre de sites à la recherche de ces failles et les exploitent sans que personne ne vise précisément le site. Garder les logiciels à jour et des identifiants d'administrateur solides et uniques couvre les points d'entrée les plus courants. Avec le créateur de site web de WEMASY, vous pouvez le mettre en place directement sur votre site.
Quelle est l'étape la plus importante pour protéger un site des pirates ?
Garder tous les logiciels à jour et utiliser des mots de passe solides et uniques avec l'authentification à deux facteurs sur les comptes administrateur couvrent ensemble la majorité des attaques réussies. Les mises à jour ferment les failles connues avant que les attaquants puissent les exploiter. Une authentification solide empêche l'accès par attaque sur les identifiants, même si un mot de passe est compromis ailleurs. Les sauvegardes n'empêchent pas les attaques mais limitent les dégâts quand l'une d'elles réussit : elles font partie de toute stratégie de protection complète.
La taille d'un site influence-t-elle le risque d'être piraté ?
Non. Les attaques contre les sites web sont presque entièrement automatisées. Des scanners sondent des millions de sites à la recherche de failles connues et d'identifiants faibles, quels que soient la taille, le trafic ou le secteur du site. Un petit site vitrine qui utilise des logiciels obsolètes est aussi exposé qu'une grande plateforme qui a la même faille. Les mesures qui protègent un site sont les mêmes quelle que soit sa taille.
Qu'est-ce qu'un pare-feu applicatif web et en ai-je besoin d'un ?
Un pare-feu applicatif web filtre le trafic entrant vers le site et bloque les requêtes qui correspondent à des schémas d'attaque connus avant qu'elles atteignent le serveur. Il peut bloquer automatiquement les tentatives d'injection SQL, les charges de cross-site scripting et le trafic de sources malveillantes connues. Avoir besoin d'un pare-feu applicatif web autonome dépend de votre hébergement. De nombreux hébergeurs incluent une protection par pare-feu au niveau du réseau, qui traite une part importante des attaques automatisées sans aucune configuration de la part du propriétaire du site.
À quelle fréquence dois-je sauvegarder mon site ?
La bonne fréquence de sauvegarde dépend de la fréquence de changement du contenu du site. Un site mis à jour chaque jour avec du nouveau contenu, des commandes ou des envois de formulaires a besoin de sauvegardes quotidiennes. Un site qui change peu peut être sauvegardé moins souvent, mais doit quand même l'être avant toute mise à jour importante ou tout changement de plateforme. Les sauvegardes doivent être stockées séparément du serveur du site et testées régulièrement pour confirmer qu'elles peuvent vraiment être restaurées.
Puis-je protéger mon site des pirates sans connaissances techniques ?
Oui. Les mesures de protection les plus efficaces ne demandent pas de connaissances techniques. Utiliser un mot de passe solide et unique sur les comptes administrateur, activer l'authentification à deux facteurs et appliquer les mises à jour avec les outils intégrés de la plateforme couvrent la majorité des voies d'attaque courantes. Choisir un hébergeur ou une plateforme de site web qui inclut un pare-feu, le SSL et des sauvegardes automatiques au niveau de la plateforme prend en charge la sécurité de l'infrastructure sans aucune configuration de votre part.