Sécuriser son site internet : ce qu’il faut exiger

Un site terminé continue de vieillir

Un site n’est pas un objet fini comme une enseigne. Il est fait de briques toutes faites : un logiciel, son interface d’administration, une base de données, des modules. Leurs auteurs découvrent des failles et publient des correctifs, et une brique laissée en arrière devient une porte connue de tous.

Cybermalveillance.gouv.fr écrit qu’« une grande majorité d’attaques de sites Internet est rendue possible par l’exploitation de failles de sécurité », et ajoute que ces failles sont régulièrement corrigées, mais que « ces correctifs ne sont pas toujours appliqués en temps utiles ». Le problème est rarement l’absence de correctif. C’est que personne ne l’a posé.

Tous les sites ne vieillissent pas au même rythme. Une page fixe, sans compte ni base de données, n’a presque rien à mettre à jour. Un site qui fait tourner une interface d’administration et une base de données reçoit des correctifs tout au long de l’année : c’est pour lui que les six exigences ci-dessous comptent le plus.

Les six choses à exiger de votre prestataire

Ces exigences reprennent les recommandations de Cybermalveillance.gouv.fr, traduites en questions qu’un propriétaire peut poser sans rien connaître à la technique. Un prestataire sérieux y répond par écrit.

1. 1

   Des alertes de sécurité à votre nom

   Le code de votre site doit être rangé sur un compte à votre nom, et ses alertes de sécurité allumées, pour que vous les receviez aussi par e-mail. Si seul votre prestataire les reçoit, vous ne saurez jamais qu’une faille a été signalée, ni si elle a été corrigée.

2. 2

   Des correctifs vérifiés avant leur mise en ligne

   Appliquer vite ne veut pas dire appliquer à l’aveugle. L’organisme le rappelle : « Il arrive que la mise à jour d’un équipement ou d’un logiciel entraîne des conséquences inattendues », et il recommande de tester les mises à jour quand c’est possible. Demandez comment chaque correctif est contrôlé avant d’arriver sur votre site.

3. 3

   Un retour en arrière possible

   Si une mise à jour casse une page ou le formulaire, il doit être possible de revenir à la version d’avant, vite. Cybermalveillance.gouv.fr conseille de sauvegarder avant toute mise à jour, justement « pour pouvoir revenir en arrière si nécessaire ».

4. 4

   Une sauvegarde vérifiée, gardée ailleurs

   Les sauvegardes de l’hébergeur sont utiles, mais elles vivent chez lui. L’organisme conseille de garder une sauvegarde « dans un lieu différent de celui où sont stockées les données originales », et de la tester, car « Parfois, le processus de sauvegarde ne s’effectue pas correctement. » Une sauvegarde jamais vérifiée est un espoir, pas une sauvegarde.

5. 5

   Une surveillance, vos échéances et un compte rendu daté

   Quelqu’un doit être prévenu si votre site ne répond plus, et suivre ce qui expire : le certificat de sécurité et le nom de domaine, qui doit être renouvelé à temps sous peine d’être libéré et repris par un autre, prévient l’organisme. Et ce travail doit laisser une trace : un compte rendu daté de ce qui a été fait, et quand.

6. 6

   Vos propres accès, et le droit de partir

   Vous devez avoir votre propre accès à l’administration du site, au compte de l’hébergeur et à celui du nom de domaine. Cybermalveillance.gouv.fr recommande des comptes individuels plutôt que des comptes partagés. Et si vous changez de prestataire, le code, les sauvegardes et ces accès doivent partir avec vous.

Ce que vous pouvez faire vous-même

Même si quelqu’un entretient votre site, quelques gestes vous reviennent, et ils ne demandent aucune compétence technique.

• Lire les alertes que vous recevez, sans paniquer : une alerte signale une brique à mettre à jour, pas un site piraté.
• Vérifier qu’une alerte est authentique avant d’agir : ouvrez vous-même le service qui garde le code de votre site, au lieu de cliquer sur le lien d’un e-mail. Cybermalveillance.gouv.fr met en garde contre les fausses alertes de mise à jour, qui peuvent servir à faire installer un virus.
• Après une mise à jour, ouvrir votre site sur l’ordinateur et le téléphone, et vous envoyer une demande par le formulaire.
• Choisir des mots de passe longs et tous différents, et activer la double authentification quand elle est proposée : un code provisoire reçu par SMS ou par e-mail s’ajoute alors au mot de passe.
• Ne jamais communiquer un mot de passe. L’organisme est formel : « Aucune société ou organisation sérieuse ne vous demandera jamais de lui communiquer votre mot de passe par messagerie ou par téléphone. »

Se faire guider par un assistant d’intelligence artificielle

Les assistants d’intelligence artificielle gratuits peuvent vous guider écran par écran : où cliquer pour lire une alerte, comment vérifier une proposition de correctif, que regarder ensuite sur votre site. C’est une aide réelle, surtout si personne ne vous accompagne.

À une condition, sans exception : ne jamais leur donner un mot de passe, ni un code reçu par SMS ou par e-mail. Ce code fait partie de votre mot de passe. Un assistant qui vous guide n’en a pas besoin, et une conversation n’est pas un coffre-fort. Si un assistant vous le demande, fermez la conversation et recommencez.

Ce que nous faisons, et ce que nous ne promettons pas

À la livraison, quelle que soit la formule choisie, le code de votre site est rangé sur un compte à votre nom, ses alertes de sécurité sont allumées et vous les recevez par e-mail. Le livret d’entretien remis avec votre site a un chapitre sur la sécurité, une fiche d’une page, et un texte prêt à coller dans un assistant d’intelligence artificielle gratuit, qui vous guide sans jamais vous demander de mot de passe.

Si vous nous confiez l’entretien, nous recevons ces alertes avec vous. Chaque correctif est préparé, contrôlé automatiquement puis vérifié par une personne avant d’être mis en ligne, avec un retour en arrière possible. S’y ajoutent une sauvegarde vérifiée chaque mois, gardée hors de chez l’hébergeur, une alerte si le site ne répond plus, le suivi de vos échéances et un compte rendu chaque trimestre. Une page fixe, elle, n’a presque rien à entretenir : une révision par an suffit. Les formules, leurs prix et ce qu’elles ne comprennent pas sont sur la page des tarifs.

Ce que nous ne promettons pas : aucune formule ne garantit qu’un site ne sera jamais attaqué. Nous appliquons les correctifs publiés, sans pouvoir promettre davantage. Et la remise en état d’un site piraté n’est pas comprise dans l’entretien : notre guide sur le site piraté dit quoi faire, et qui prévenir.

Questions fréquentes

Des réponses courtes et franches. S’il manque la vôtre, écrivez-nous.