Sécuriser son site internet : les gestes de base

On pense volontiers qu’un petit site n’intéresse personne. Il suffit pourtant d’un mot de passe deviné pour qu’une page change de contenu, ou d’un nom de domaine détourné pour que le site devienne inaccessible. Et une attaque peut se passer de toute technique : un simple message, qui réclame un code ou un règlement, y suffit.

Voici les gestes de base, rangés du plus évident au plus oublié. La plupart se font une seule fois.

HTTPS partout, et un certificat qui se renouvelle seul

HTTPS chiffre les échanges entre le visiteur et votre site : ce qu’il tape dans votre formulaire de contact ne circule pas en clair. Cybermalveillance.gouv.fr recommande de ne servir le site qu’en HTTPS, et certains navigateurs signalent les sites qui ne le font pas.

Vérifiez trois choses :

• l’adresse de votre site commence par https et le navigateur n’affiche aucun avertissement ;
• l’ancienne adresse en http, sans le s, renvoie d’elle-même vers la version sécurisée ;
• le rapport HTTPS de la Search Console ne signale ni certificat non valide, ni page qui redirige vers la version non sécurisée.

Le certificat, qui atteste l’identité du site, a une date de fin, et sa durée de vie raccourcit. Le CA/Browser Forum, qui fixe les règles des certificats, a adopté en 2025 une baisse par paliers de leur durée maximale : de 398 jours à 47 jours, entre mars 2026 et mars 2029. Renouveler à la main ne sera plus tenable. Demandez à votre hébergeur si le renouvellement est automatique.

Des mots de passe longs, uniques, et un second verrou

La CNIL donne trois repères de solidité équivalente : au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux ; au moins 14 caractères mêlant majuscules, minuscules et chiffres ; ou une phrase de passe d’au moins 7 mots. Cybermalveillance.gouv.fr ajoute un mot de passe différent pour chaque service, et un gestionnaire de mots de passe pour les retenir à votre place.

Commencez par les comptes qui ouvrent les autres :

1. La messagerie, qui sert à réinitialiser tout le reste. Cybermalveillance.gouv.fr la place parmi les mots de passe les plus importants à protéger.
2. Le bureau d’enregistrement du nom de domaine, et l’hébergeur du site.
3. Le compte Google qui gère votre fiche d’établissement.
4. Les réseaux sociaux de l’établissement.

Sur chacun, activez la double authentification : à chaque connexion depuis un nouvel appareil, un code reçu sur votre téléphone, ou une application, confirme que c’est bien vous. La CNIL juge ces solutions plus protectrices qu’un mot de passe seul, et Google la recommande pour le compte qui gère la fiche.

Au moindre doute, changez le mot de passe tout de suite, et partout où vous l’aviez réutilisé.

Les mises à jour, dès qu’elles sortent

Si votre site tourne sur un logiciel de gestion de contenu (un CMS) avec des extensions, chaque mise à jour peut corriger une faille. Cybermalveillance.gouv.fr recommande de les installer dès qu’elles sont disponibles, en automatique quand c’est possible, et de sauvegarder juste avant. Pour les extensions :

• installez seulement celles qui servent, et retirez les autres ;
• téléchargez-les uniquement depuis la source officielle ;
• méfiez-vous d’une extension qui n’a pas bougé depuis des années : elle n’est probablement plus suivie.

Le même réflexe vaut pour l’ordinateur et le téléphone avec lesquels vous administrez le site. Limitez aussi les accès : un compte par personne, les droits d’administrateur au strict nécessaire, et les anciens collaborateurs retirés le jour de leur départ. Google le recommande pour la fiche d’établissement, et Cybermalveillance.gouv.fr pour le site.

Des sauvegardes, et une restauration essayée

Une sauvegarde ne vaut que si elle se restaure. Cybermalveillance.gouv.fr recommande de sauvegarder régulièrement le site, sa configuration et ses données, de vérifier que la copie se remet en place, d’en garder une dans un autre lieu, et de débrancher le support après usage pour qu’une attaque ne l’atteigne pas.

En pratique :

• demandez à votre hébergeur ce qu’il sauvegarde, à quelle fréquence, et combien de temps il garde les copies ;
• gardez de votre côté les originaux de vos textes et de vos photos ;
• une fois par an, remettez le site en place depuis une copie, sur une adresse de test.

Le nom de domaine : à votre nom, renouvelé, verrouillé

Un nom de domaine piraté peut détourner vos visiteurs ou rendre le site inaccessible, prévient l’Afnic. Quatre vérifications, à faire chez votre bureau d’enregistrement (voir aussi choisir son nom de domaine) :

• Le titulaire. C’est vous, ou votre société, qui devez figurer dans l’annuaire des titulaires, le Whois. L’Afnic cite deux cas fréquents : le prestataire qui enregistre le nom à son propre nom par commodité, et le salarié qui l’enregistre au sien puis quitte l’entreprise.
• L’échéance. Renouvellement automatique activé, carte à jour, et une adresse de contact qui fonctionne. Prenez-la de préférence hors de ce domaine : si le domaine tombe, les courriels qui devaient vous prévenir tombent avec lui.
• Le verrou. Pour un .fr, l’Afnic propose .FR Lock, qui bloque toute modification technique du nom sans votre accord ; on le demande à son bureau d’enregistrement. Cybermalveillance.gouv.fr recommande ce verrou, et DNSSEC, une signature qui empêche de falsifier en chemin l’adresse de votre site.
• Le code de transfert. Ce code, dit « auth-info », permet de déplacer le nom chez un autre bureau d’enregistrement. Ne le donnez qu’à celui que vous avez choisi.

L’hameçonnage qui vise les propriétaires de sites et de fiches

Votre nom de domaine et votre fiche Google sont publics : les escrocs les connaissent. Les pièges à reconnaître :

• Le faux avis d’expiration. Un courrier ou un courriel ressemble à une facture de renouvellement de votre domaine. L’Afnic a décrit ce piège : en réglant, on signe en réalité le transfert du nom vers un prestataire inconnu. Renouvelez uniquement chez votre bureau d’enregistrement, en tapant vous-même son adresse.
• Le faux appel de Google. Quelqu’un propose de garder, de valider ou d’améliorer votre fiche contre de l’argent. Google est clair : la fiche se crée sans frais, il ne demande jamais d’informations bancaires par téléphone, ni de code à usage unique. Raccrochez, sans appuyer sur aucune touche.
• La demande d’accès à la fiche. N’acceptez pas une invitation à gérer votre fiche venue de quelqu’un que vous ne connaissez pas.
• Le chantage aux avis, qui menace votre note : voir répondre aux avis.

Les réflexes, d’après Cybermalveillance.gouv.fr : vérifiez que l’expéditeur écrit depuis le nom de domaine de l’organisme ; survolez un lien sans cliquer pour voir où il mène ; vérifiez par un autre canal, avec le numéro que vous connaissez déjà. Aucune organisation sérieuse ne vous demandera votre mot de passe.

Si vous avez cliqué, ou donné un code :

1. Changez tout de suite le mot de passe, et partout où il servait.
2. Gardez le message, comme preuve.
3. Signalez les courriels à Signal Spam et les SMS au 33700.
4. Portez plainte. Pour être accompagné, Info Escroqueries répond au 0 805 805 817, gratuitement.

En résumé : HTTPS avec un certificat renouvelé tout seul, des mots de passe longs et uniques doublés d’une double authentification, les mises à jour sans attendre, des sauvegardes dont on a essayé la restauration, un domaine à votre nom et verrouillé, et un doute systématique devant tout message qui réclame un code ou de l’argent.