Le premier signe d’un échec de la sécurité d’un site n’est souvent pas quelque chose que le propriétaire remarque. Les visiteurs voient des avertissements, sont redirigés vers des pages inconnues ou voient leurs données compromises, alors que le site semble fonctionner normalement en surface. La sécurité d’un site web est l’ensemble des mesures qui le protègent contre l’accès non autorisé, le vol de données, les logiciels malveillants et les pannes. Cet article explique pourquoi elle compte pour tout site, quelle que soit sa taille ou sa finalité, à quoi ressemblent les menaces les plus courantes et quelles protections de base chaque site devrait avoir.
Les attaques automatisées n’évaluent pas un site avant de le cibler. Elles parcourent internet en continu, à la recherche de failles connues à exploiter, quels que soient la taille du site, son secteur ou son trafic. La différence entre les sites piratés et les autres tient rarement à leur notoriété. Elle tient presque toujours aux mesures de sécurité en place.
Que peut-il arriver à un site non sécurisé ?
Les failles de sécurité d’un site ne sont pas toujours spectaculaires. Elles passent souvent inaperçues du propriétaire tout en causant des dégâts importants pour les visiteurs, la réputation et les performances de recherche.
Le vol de données
- Si votre site collecte des informations sur les visiteurs, comme des envois de formulaire de contact, des adresses e-mail ou des moyens de paiement, un site non sécurisé met ces données en danger
- Une fuite qui expose des données de visiteurs crée une responsabilité légale, en particulier dans les régions où les lois de protection des données exigent un traitement sécurisé des informations personnelles
- Les visiteurs qui découvrent que leurs données ont été exposées par votre site ont peu de chances de revenir
L’injection de logiciels malveillants
- Les attaquants qui accèdent à un site peuvent y injecter du code malveillant qui s’exécute discrètement en arrière-plan
- Ce code peut rediriger les visiteurs vers des pages frauduleuses, afficher des publicités indésirables, voler des identifiants de connexion ou utiliser le site pour en attaquer d’autres
- Le propriétaire du site n’a souvent aucune idée de ce qui se passe jusqu’à ce qu’un visiteur le signale ou qu’un outil d’analyse de sécurité le détecte
Le défigurement
- Certaines attaques remplacent le contenu d’un site par le message, les images ou les liens de l’attaquant
- Le défigurement est immédiatement visible et nuit à la crédibilité et à la confiance
- Pour tout site qui compte sur sa présence en ligne pour attirer ou retenir des visiteurs, se remettre d’un défigurement peut demander beaucoup de temps et d’efforts
Les pannes
- Les attaques conçues pour submerger un serveur de trafic peuvent mettre un site complètement hors ligne
- Chaque heure de panne, ce sont de la visibilité, des contacts et des revenus perdus
- Se remettre d’une attaque grave peut prendre des jours si l’on n’a pas de sauvegardes
Comment la sécurité d’un site influence-t-elle le classement dans les moteurs de recherche ?
Les moteurs de recherche surveillent activement les problèmes de sécurité et les prennent en compte dans le classement et la visibilité.
Les avertissements de logiciels malveillants dans les résultats de recherche
- Quand un moteur de recherche détecte un logiciel malveillant sur un site, il ajoute un avertissement à la ligne correspondante dans les résultats
- Les visiteurs qui voient un avertissement avant de cliquer vont rarement plus loin
- Le taux de clics tombe presque à zéro quand des avertissements de sécurité s’affichent, quel que soit le classement de la page
Les avertissements de sécurité des navigateurs
- Les navigateurs affichent un avertissement plein écran quand un visiteur essaie d’accéder à un site signalé comme dangereux ou sans HTTPS
- Les visiteurs doivent choisir activement de passer outre ces avertissements, et la majorité ne le fait pas
- Un site qui déclenche des avertissements du navigateur perd le trafic de chaque visiteur qui en voit un
Le HTTPS comme signal de classement
- Le HTTPS, la version sécurisée du protocole HTTP, est un signal de classement confirmé
- Les sites qui servent leurs pages en HTTP plutôt qu’en HTTPS sont désavantagés dans le classement par rapport à des pages équivalentes servies de façon sécurisée
- Les navigateurs marquent aussi les sites HTTP comme « Non sécurisé » dans la barre d’adresse, ce qui réduit la confiance des visiteurs avant même toute interaction
Pour une explication complète du fonctionnement du HTTPS et de ce qu’il protège, consultez l’article qu’est-ce que le HTTPS et comment il protège votre site.
Quelles sont les menaces de sécurité les plus courantes pour un site ?
Les attaques par force brute
- Des outils automatisés essaient des milliers de combinaisons d’identifiants et de mots de passe pour accéder aux panneaux d’administration des sites
- Des mots de passe faibles et un nombre illimité de tentatives de connexion rendent ces attaques faciles à mener
- L’authentification à deux facteurs et la limitation des tentatives de connexion réduisent nettement ce risque
L’injection SQL
- Les attaquants insèrent du code malveillant dans des champs de formulaire ou des paramètres d’URL pour manipuler les requêtes de la base de données
- Une injection SQL réussie peut exposer ou supprimer le contenu de la base de données, y compris des données de clients
- Cette menace concerne particulièrement les sites avec des champs de recherche, des formulaires de connexion ou des formulaires de contact qui interagissent avec une base de données
Le cross-site scripting
- Des scripts malveillants sont injectés dans une page que d’autres visiteurs chargent ensuite dans leur navigateur
- Ces scripts peuvent voler des cookies de session, rediriger les visiteurs ou capturer ce qu’ils saisissent dans les formulaires
- Le cross-site scripting est l’une des failles les plus courantes des applications web
Les logiciels malveillants et les rançongiciels
- Une fois qu’un attaquant a accès à un site, il peut installer un logiciel malveillant qui s’exécute en arrière-plan, collecte des données ou chiffre des fichiers
- Les rançongiciels enferment les propriétaires hors de leur propre site et exigent un paiement pour rétablir l’accès
- Les sauvegardes régulières sont la principale défense contre les rançongiciels, car restaurer une sauvegarde saine retire tout levier à l’attaquant
Les logiciels obsolètes
- Les failles connues des logiciels, extensions et thèmes de sites sont publiées dès que des correctifs sont disponibles
- Les sites qui utilisent des versions obsolètes sont vulnérables aux attaques qui exploitent ces failles publiées
- Garder les logiciels à jour est l’une des mesures de sécurité les plus simples à appliquer
Quelles sont les mesures de sécurité de base que tout site devrait avoir ?
Le HTTPS et un certificat SSL
- Chaque site devrait servir ses pages en HTTPS, qui chiffre les données en transit entre le navigateur du visiteur et le serveur
- Un certificat SSL est ce qui active le HTTPS. Sans lui, les données sont transmises en clair et peuvent être interceptées
- Les navigateurs marquent les sites sans HTTPS comme « Non sécurisé ». Les visiteurs ont peu de chances d’envoyer un formulaire ou d’acheter sur un site portant cette mention
Pour une explication complète du fonctionnement des certificats SSL et de la façon d’en obtenir un, consultez l’article qu’est-ce qu’un certificat SSL et comment il fonctionne.
Une authentification forte
- Les comptes d’administration devraient utiliser des mots de passe forts et uniques, ainsi que l’authentification à deux facteurs
- Limitez les tentatives de connexion pour bloquer les outils automatisés de force brute
- Supprimez les comptes d’administration inutilisés. Chaque compte actif aux identifiants faibles est une porte d’entrée potentielle
Des sauvegardes régulières
- Les sauvegardes permettent de remettre un site dans un état sain après une attaque, sans payer de rançon ni tout reconstruire de zéro
- Les sauvegardes devraient être stockées séparément du site lui-même. Une sauvegarde stockée sur le même serveur est perdue si le serveur est compromis
- Testez régulièrement les restaurations pour confirmer que les sauvegardes fonctionnent comme prévu
Les mises à jour logicielles
- Appliquez les mises à jour de la plateforme du site, des extensions, des thèmes et de toutes les intégrations tierces dès qu’elles sont disponibles
- Les mises à jour incluent souvent des correctifs de sécurité qui ferment les failles découvertes depuis la version précédente
Un pare-feu applicatif web
- Un pare-feu applicatif web se place entre le trafic entrant et le site, et filtre les requêtes malveillantes connues avant qu’elles atteignent le serveur
- Les pare-feu peuvent bloquer automatiquement les tentatives d’injection SQL, le cross-site scripting, le trafic de robots et d’autres schémas d’attaque courants
Pour un guide complet sur la protection de votre site contre les accès non autorisés et les attaques, consultez l’article comment protéger votre site web contre les pirates. Pour savoir comment mettre en place des sauvegardes régulières, consultez l’article comment sauvegarder votre site web.
Comment WEMASY gère la sécurité des sites web
Le créateur de site web de WEMASY inclut des certificats SSL sur chaque offre : tous les sites sont donc servis en HTTPS par défaut. Aucune configuration ni achat séparé n’est nécessaire. L’infrastructure d’hébergement inclut une protection par pare-feu et une atténuation des attaques DDoS au niveau du réseau, ce qui réduit l’exposition aux attaques automatisées courantes sans aucune configuration de la part du propriétaire du site.
Les logiciels qui fonctionnent sur la plateforme WEMASY sont entretenus et mis à jour par l’équipe de la plateforme : les propriétaires de sites n’ont donc pas à appliquer les correctifs de sécurité du système sous-jacent. Les sauvegardes sont incluses et gérées automatiquement, avec des options de restauration disponibles depuis le tableau de bord.
Découvrez ce qui est inclus sur le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Pourquoi la sécurité d’un site web est-elle importante ?
La sécurité d’un site protège à la fois les visiteurs, les données du site et la visibilité dans les moteurs de recherche. Un site non sécurisé peut servir à voler des données de visiteurs, à diffuser des logiciels malveillants à ceux qui le visitent, ou être mis complètement hors ligne. Les moteurs de recherche signalent les sites non sécurisés dans les résultats et les navigateurs avertissent les visiteurs avant leur entrée, ce qui réduit fortement le trafic. Un incident de sécurité peut endommager durablement la confiance et la visibilité qu’un site a construites. Avec le créateur de site web de WEMASY, vous pouvez le configurer directement sur votre site.
Tous les sites ont-ils besoin de sécurité ?
Oui. Les attaques automatisées parcourent internet en continu à la recherche de failles et ne ciblent pas les sites selon leur taille ou leur trafic. Tout site accessible au public est une cible potentielle. Les conséquences d’une fuite, notamment la perte de données, les avertissements de logiciels malveillants dans les résultats de recherche, les pannes et la responsabilité légale, sont les mêmes quels que soient la taille ou la finalité du site.
La sécurité d’un site influence-t-elle le SEO ?
Oui, directement. Le HTTPS est un signal de classement confirmé : les sites servis de façon sécurisée ont un avantage de classement sur les sites en HTTP. De plus, les sites signalés pour logiciels malveillants par les moteurs de recherche reçoivent des avertissements dans les résultats, qui réduisent le taux de clics presque à zéro. Les avertissements de sécurité des navigateurs bloquent les visiteurs avant qu’ils atteignent la page. Un incident de sécurité peut retirer complètement un site des résultats de recherche jusqu’à ce que le problème soit résolu et réexaminé.
Quelle est la mesure de sécurité la plus importante pour un site ?
Le HTTPS grâce à un certificat SSL est le minimum de base. Sans lui, les données envoyées par les formulaires circulent en clair et les navigateurs marquent le site comme non sécurisé. Ensuite, une authentification forte sur les comptes d’administration et la mise à jour de tous les logiciels sont les deux mesures qui empêchent la majorité des attaques courantes. Les sauvegardes régulières sont le filet de sécurité qui limite les dégâts quand les autres mesures échouent.
Comment savoir si mon site a été piraté ?
Les signes courants sont : des visiteurs qui signalent des redirections inattendues vers d’autres sites, des résultats de recherche qui affichent des pages inconnues ou des avertissements, un site nettement plus lent que d’habitude, du contenu qui apparaît sans que le propriétaire l’ait ajouté, ou un accès au panneau d’administration bloqué. Beaucoup d’attaques sont conçues pour rester invisibles au propriétaire tout en touchant les visiteurs : vérifier régulièrement les rapports d’analyse de sécurité et surveiller les baisses inhabituelles des performances de recherche sont donc de bonnes habitudes.
Quelle est la différence entre la sécurité d’un site web et la sécurité de l’hébergement ?
La sécurité de l’hébergement désigne les protections appliquées au niveau de l’infrastructure : le serveur, le réseau et le centre de données. La sécurité du site désigne les protections appliquées au niveau du site : le code de l’application, les systèmes d’authentification et la configuration. Les deux comptent. Un environnement d’hébergement sécurisé ne protège pas un site aux mots de passe faibles ou aux logiciels obsolètes, et une bonne sécurité au niveau du site ne peut pas compenser un hébergeur aux pratiques d’infrastructure médiocres.