Sécurité d'hébergement de votre site internet : les bases

Sécurité d’hébergement de votre site internet : êtes-vous vraiment à l’abri des failles ?

La sécurité de votre site web ne se limite pas au cadenas HTTPS. Un site peut sembler fonctionner normalement tout en présentant des failles de sécurité.

Idée reçue n°1 : « Mon site est petit, les hackers ne s’intéressent pas à moi. »

C'est faux. La plupart des attaques sont automatisées et ciblent les sites vulnérables, quelle que soit la taille de l'entreprise.

Idée reçue n°2 : « Mon hébergeur s’occupe de la sécurité, ce n’est pas mon problème.»

Pas totalement. L'hébergeur protège son infrastructure, mais les mises à jour, les sauvegardes et les accès administrateurs restent de votre responsabilité.

Les trois piliers à vérifier en priorité

Un site professionnel ne repose pas sur une protection unique. Sa sécurité dépend de trois piliers complémentaires : l’hébergement, les sauvegardes et la gestion des accès. Si l’un d’eux est négligé, il peut devenir le point faible de toute l’infrastructure.

1. Un hébergement web sécurisé professionnel comme première protection

Un hébergement web sécurisé professionnel doit proposer un certificat SSL inclus, des sauvegardes automatiques quotidiennes, un pare-feu actif et un support technique capable d’intervenir rapidement en cas d’incident. Le prix ne doit donc jamais être votre seul critère de choix. Vous devez aussi vérifier les protections réellement incluses dans l’offre.

2. Des sauvegardes régulières stockées sur des supports distincts

Une sauvegarde doit vous permettre de restaurer votre site après un piratage, une erreur humaine ou une mise à jour défectueuse. Prévoyez des copies régulières, conservées sur un support distinct de votre hébergement principal et testées périodiquement. Une sauvegarde jamais restaurée ne vous garantit pas qu’elle sera exploitable le jour où vous en aurez besoin.

3. Des accès administrateurs réservés aux bonnes personnes

Chaque personne autorisée à modifier votre site doit disposer de son propre compte et uniquement des droits nécessaires à sa mission. Des mots de passe complexes, l’authentification à deux facteurs pour les comptes administrateurs et la suppression des accès devenus inutiles réduisent les risques d’intrusion liés à une mauvaise gestion des utilisateurs.

Le certificat SSL : nécessaire mais insuffisant

Le cadenas HTTPS est probablement le signe de sécurité le plus visible pour un internaute. Un certificat SSL d’un site professionnel permet de chiffrer les échanges entre le navigateur du visiteur et le serveur. Les données ne circulent donc pas de la même manière que sur une connexion HTTP non sécurisée. Les certificats SSL/TLS participent notamment à la protection des identifiants et des informations transmises entre le site et ses visiteurs. Pour un site professionnel, le HTTPS constitue aujourd'hui un minimum technique. Mais il faut être très clair sur ce point : un site en HTTPS peut malgré tout être piraté.

Le certificat SSL ne corrige pas une extension vulnérable. Il ne protège pas un mot de passe administrateur compromis. Il ne crée pas de sauvegarde. Il ne détecte pas automatiquement un fichier malveillant ajouté à votre site. Imaginez une porte blindée installée sur un bâtiment dont une fenêtre reste ouverte. La porte est utile, mais elle ne sécurise pas, à elle seule, l'ensemble du bâtiment. La logique est identique pour votre site.

Cette vigilance devient encore plus importante lorsqu'une fonctionnalité sensible est ajoutée. Si vos visiteurs peuvent régler une prestation ou effectuer une transaction depuis votre site, la sécurisation du parcours doit être pensée dans son ensemble. Le SSL est donc une base, mais en aucun cas, une stratégie complète de sécurité.

Les sauvegardes : la dernière ligne de défense que la plupart des sites n'ont pas

Si votre site disparaissait aujourd'hui, quelle version pourriez-vous restaurer ? Cette question suffit souvent à révéler une faiblesse importante. Parmi les sauvegardes de site internet, il y a des bonnes pratiques à adopter. La règle 3-2-1 constitue un repère simple : conserver trois copies des données, sur deux supports différents, avec au moins une copie externalisée. Cette méthode est efficace, parce qu'une sauvegarde stockée au même endroit que le site principal peut être affectée par le même incident. Si l'environnement d'hébergement rencontre un problème majeur, votre copie de secours ne doit pas nécessairement dépendre du même point de défaillance.

Pour un site professionnel régulièrement mis à jour, une sauvegarde automatique quotidienne constitue un socle pertinent. La durée de conservation est tout aussi importante. À titre de repère, certaines solutions d'hébergement permettent aujourd'hui une restauration jusqu'à 30 jours en arrière. Cet historique peut faire toute la différence. Une attaque ou une modification malveillante n'est pas toujours détectée immédiatement. Si vous découvrez le problème quinze jours après son apparition et que vous ne conservez que les sept dernières sauvegardes, toutes vos copies disponibles peuvent déjà contenir l'anomalie.

Mais il existe un autre problème : sauvegarder ne signifie pas savoir restaurer. Une copie de vos fichiers et de votre base de données est utile uniquement si elle permet de remettre le site en état. Les recommandations techniques d'OVH rappellent d'ailleurs l'importance de sauvegarder les différents éléments qui composent un site, notamment ses fichiers et sa base de données.

La gestion des accès : le maillon le plus négligé

L'accès administrateur d’un site sécurité est l'un des sujets les plus simples à comprendre et pourtant l'un des plus négligés. Un compte administrateur possède généralement des droits très étendus. Selon le CMS et sa configuration, il peut modifier les pages, installer des extensions, créer de nouveaux utilisateurs ou intervenir sur différents paramètres du site. Un accès compromis peut donc ouvrir une porte importante. Les bonnes pratiques recommandent de limiter l'accès aux seules personnes habilitées. Pare-feu et listes de contrôle d'accès peuvent notamment participer à cette limitation. 

À votre niveau, les premières mesures sont beaucoup plus simples. Chaque intervenant doit disposer de son propre compte. Les mots de passe doivent être uniques et suffisamment robustes. L'authentification à deux facteurs doit être activée sur les comptes sensibles lorsque la solution technique le permet. Les anciens utilisateurs doivent être supprimés et les droits accordés à chaque personne limités à ce dont elle a réellement besoin. C'est ce qu’on appelle le principe du moindre privilège. 

Le partage d'un compte « admin » commun entre plusieurs prestataires empêche également de savoir précisément qui s'est connecté et qui a réalisé une modification. La gestion rigoureuse des accès devient encore plus importante lorsque votre site donne accès à des espaces privés ou à des documents. Si vous utilisez ce type de fonctionnalité, la réflexion peut être prolongée avec la mise en place d'un extranet sécurisé pour centraliser les échanges et contrôler les accès. La règle à retenir est simple : un accès administrateur ne doit jamais être accordé par facilité.

Mises à jour et monitoring : la sécurité comme routine, pas comme urgence

Un site internet n'est pas un document que l'on publie une fois et qu’ensuite on oublie pendant cinq ans. Le CMS évolue. Les extensions sont mises à jour. Des vulnérabilités sont découvertes. Des correctifs sont publiés. C'est pourquoi la maintenance de votre site internet sécurité doit être considérée comme une routine et non comme une intervention d'urgence. Sur un site WordPress, par exemple, maintenir le cœur du CMS, les extensions et les thèmes à jour fait partie des premières mesures recommandées pour limiter l'exposition aux vulnérabilités connues. Cela ne signifie pas pour autant qu'il faut cliquer sur « tout mettre à jour » sans précaution. Une mise à jour peut provoquer une incompatibilité ou un dysfonctionnement. Sur un site important pour votre activité, les interventions sensibles peuvent être testées sur un environnement de pré-production avant d'être appliquées au site visible par vos clients. 

Le monitoring complète cette maintenance. Il consiste à surveiller différents signaux : 

• indisponibilité du site ; 
• modification inhabituelle de fichiers ; 
• activité anormale ;
• apparition d'une vulnérabilité critique. 

L'objectif n'est pas de garantir qu'aucun incident ne surviendra jamais. Une telle promesse serait irréaliste. L'objectif est de détecter plus vite et de pouvoir réagir plus efficacement.

Pour un indépendant ou une TPE sans compétence technique en interne, déléguer cette surveillance à un prestataire spécialisé est souvent plus rationnel que d'essayer de suivre soi-même les alertes de sécurité, les versions du CMS et les correctifs des différentes extensions. 

Professions sensibles : quand les exigences vont plus loin

Pour certains métiers, la sécurité d'hébergement n'est pas qu'une bonne pratique : c'est une obligation légale renforcée. Les professionnels de santé en sont l'exemple le plus strict. Dès que les données de leurs patients sont hébergées chez un prestataire externe, celui-ci doit être certifié HDS (Hébergeur de Données de Santé) une certification obligatoire depuis 2018, adossée à la norme ISO 27001. Pour un médecin, un kinésithérapeute ou un psychologue qui utilise un logiciel métier en ligne, vérifier que l'éditeur s'appuie sur un hébergeur certifié HDS n'est pas optionnel : le manquement aux règles sur les données de santé expose à de lourdes sanctions pénales.

Les autres professions au secret renforcé, notaires, avocats, experts-comptables, ne relèvent pas d'une certification dédiée, mais le caractère confidentiel des dossiers qu'elles manipulent élève nettement le niveau d'exigence attendu : sauvegardes chiffrées, hébergement des données dans l'Union européenne, traçabilité stricte des accès. Cette confidentialité rejoint d'ailleurs les obligations déontologiques propres à chaque ordre, à commencer par ce que la déontologie impose en matière de confidentialité. Pour ces métiers, les six critères qui suivent constituent un minimum, à compléter par une vigilance particulière sur la localisation et le chiffrement des données.

Comment choisir un hébergeur web fiable pour son site professionnel : les critères essentiels

Tous les hébergements web ne proposent pas le même niveau de protection. Avant de choisir une offre ou d’évaluer votre solution actuelle, vérifiez ces six critères importants :

• Un certificat SSL inclus : il permet de chiffrer les échanges entre votre site et le navigateur de vos visiteurs et d'utiliser le protocole HTTPS.

• Des sauvegardes automatiques quotidiennes : privilégiez une solution qui conserve plusieurs versions de votre site, idéalement pendant au moins 30 jours, afin de pouvoir revenir à une sauvegarde antérieure en cas d’incident.

• Un pare-feu et une protection anti-DDoS : ces dispositifs participent à la détection ou au blocage de certaines attaques et limitent les risques d’indisponibilité du site.

• Un support technique réactif en français : en cas de site inaccessible ou compromis, vous devez pouvoir contacter rapidement un interlocuteur capable de vous accompagner.

• Des serveurs hébergés en Europe : la localisation des données est un critère à examiner dans le cadre de vos obligations liées au RGPD. Elle doit toutefois être vérifiée avec les engagements contractuels du prestataire et ses éventuels sous-traitants.

• Un engagement contractuel sur la disponibilité : vérifiez le SLA (Service Level Agreement) proposé par l’hébergeur. Il précise notamment le niveau de disponibilité du service auquel le prestataire s’engage.

Ces six critères constituent un cahier des charges minimal pour comparer un hébergement web professionnel. Si plusieurs éléments manquent, une partie importante de la gestion technique et de la sécurité peut reposer sur vous ou sur votre prestataire web. Mieux vaut donc identifier clairement qui prend en charge chaque responsabilité avant qu’un incident ne survienne.