Domaine, hébergement & sécurité
Sécuriser le site et les comptes d'une petite entreprise : mises à jour, mots de passe, sauvegardes, réflexes en cas d'attaque
« Qui voudrait pirater le site d'un plombier ? » Personne en particulier, et c'est bien le problème : la plupart des attaques sont automatiques. Des programmes parcourent le web à la recherche de sites non mis à jour, de mots de passe faibles et de comptes mal protégés, sans se soucier de la taille de l'entreprise. Les bonnes pratiques sont pourtant simples, et les dispositifs publics d'assistance existent.
Comprendre les risques réels
Pour un site d'artisan, les incidents les plus fréquents ne ressemblent pas aux attaques spectaculaires des actualités. Ce sont des pages défigurées, des liens publicitaires ou frauduleux injectés à l'insu de l'entreprise, des formulaires détournés pour envoyer du courrier indésirable, un compte de messagerie piraté qui envoie de fausses factures aux clients, ou un nom de domaine perdu parce que le compte du bureau d'enregistrement a été compromis.
Le dispositif national Cybermalveillance.gouv.fr publie régulièrement des alertes, par exemple, le 22 octobre 2026, sur des failles de sécurité critiques dans PHP, un langage sur lequel reposent de nombreux sites. Ces alertes rappellent l'essentiel : les failles sont découvertes en permanence, et seule la mise à jour les corrige.
Les mesures de base
- Mettre à jour. Le système de gestion de contenu, ses extensions, son thème, et le langage du serveur. Si vous avez un contrat de maintenance, vérifiez qu'il couvre les mises à jour de sécurité et leur délai d'application. Supprimez les extensions inutilisées : elles restent des portes d'entrée.
- Des mots de passe uniques et longs. Un mot de passe différent pour chaque service, de préférence une phrase longue, conservés dans un gestionnaire de mots de passe. Changez immédiatement les mots de passe fournis par défaut et ceux qu'un ancien prestataire ou un ancien salarié connaissait.
- La double authentification. Activez-la partout où elle existe, en priorité sur le compte du bureau d'enregistrement du nom de domaine, l'hébergement, l'administration du site, la messagerie et la fiche d'établissement. Un mot de passe volé ne suffit alors plus.
- Des comptes nominatifs. Un compte par personne, avec les droits strictement nécessaires, plutôt qu'un identifiant « admin » partagé. Quand quelqu'un quitte l'entreprise ou qu'un prestataire termine sa mission, on supprime son accès.
- Des sauvegardes testées. Fréquentes, conservées sur plusieurs générations, stockées hors du serveur du site, et restaurées au moins une fois pour vérifier qu'elles fonctionnent. Voir aussi notre article sur l'hébergement.
- Moins de dépendances. Chaque script tiers, chaque extension, chaque formulaire est une surface d'attaque. Un site simple est plus facile à protéger.
Protéger le nom de domaine et la messagerie
Le compte du bureau d'enregistrement est le plus sensible : qui le contrôle peut rediriger le site et les courriels de l'entreprise. Protégez-le par la double authentification, gardez une adresse de contact que vous lisez, et activez le renouvellement automatique pour ne pas perdre le nom par oubli. Nous détaillons ces points dans notre article sur le nom de domaine.
La messagerie, elle, est la cible privilégiée de l'hameçonnage : un faux message de l'hébergeur (« votre site va être suspendu »), d'un fournisseur (« nouvelles coordonnées bancaires ») ou d'une administration. Avant de cliquer ou de payer, vérifiez par un autre canal, en appelant le numéro habituel. Un changement de coordonnées bancaires annoncé par courriel doit toujours être confirmé par téléphone.
Évaluer son niveau
France Num référence plusieurs outils gratuits, dont le test de maturité cyber élaboré par l'ANSSI, présenté comme rapide, gratuit et anonyme, qui donne une première évaluation du niveau de protection d'une TPE ou PME. Cybermalveillance.gouv.fr publie des fiches de bonnes pratiques, dont une liste de dix mesures essentielles pour assurer sa sécurité numérique, et propose le service « Mon ExpertCyber » pour trouver des prestataires de sécurité référencés et labellisés.
Si le site ou un compte est piraté
- Garder son calme et noter. Ce qui a été constaté, quand, par qui ; faire des captures d'écran. Ces éléments serviront au prestataire, à l'assureur et, le cas échéant, aux enquêteurs.
- Demander de l'aide. Le service 17Cyber de Cybermalveillance.gouv.fr propose un diagnostic, des conseils et une mise en relation avec des prestataires. Prévenez votre prestataire et votre hébergeur.
- Reprendre le contrôle des comptes. Changer les mots de passe depuis un appareil sain, activer la double authentification, vérifier les règles de transfert automatique de la messagerie, qui sont souvent détournées.
- Restaurer une version saine du site à partir d'une sauvegarde antérieure à l'incident, puis appliquer les mises à jour qui manquaient.
- Évaluer la fuite de données. Si des données personnelles (formulaires, comptes clients) ont pu être consultées ou dérobées, documentez l'incident et, s'il présente un risque pour les personnes, notifiez-le à la CNIL, si possible dans les 72 heures ; en cas de risque élevé, informez aussi les personnes concernées. Voir notre article sur le RGPD.
- Porter plainte si l'incident résulte d'une attaque, au commissariat ou à la gendarmerie, en conservant les preuves techniques.
Un calendrier simple
Une petite entreprise n'a pas besoin d'un service informatique pour être raisonnablement protégée ; elle a besoin d'habitudes. Chaque mois : vérifier que les mises à jour ont été faites. Chaque trimestre : tester une restauration de sauvegarde, faire le tour des comptes et des accès. Chaque année : relire les contrats (hébergement, maintenance, nom de domaine) et la date d'expiration du nom. Ce sont quelques heures par an, à mettre en regard de ce que coûterait un site hors ligne ou une boîte de messagerie détournée.
Sources
- Cybermalveillance.gouv.fr : 17Cyber, Mon ExpertCyber, alerte « Failles de sécurité critiques dans PHP » du 22 octobre 2026, « Les 10 mesures essentielles pour assurer votre sécurité numérique » (consulté le 27 octobre 2026).
- CNIL, « Notifier une violation de données personnelles » (consulté le 27 octobre 2026).
- France Num, « Diagnostic numérique » : test de maturité cyber de l'ANSSI (mis à jour le 24 février 2026).
Domaine, hébergement & sécuritéChoisir et garder son nom de domaine
Un nom de domaine ne s'achète pas, il se loue et se renouvelle : choisir, être titulaire, ne jamais le laisser expirer.
Domaine, hébergement & sécuritéChoisir un hébergement
Mutualisé, géré, plateforme en ligne : ce qui convient à un petit site, et les questions à poser sur les sauvegardes, la sécurité et les données.
Obligations légalesLe RGPD pour un site vitrine
Un simple formulaire de devis suffit à faire de vous un responsable de traitement : informer, limiter, sécuriser, et savoir quoi faire en cas de fuite.