Sécuriser son site web : guide pour les non-techniciens

La cybersécurité web n'est pas un luxe réservé aux grandes entreprises

En Suisse, 99,7 % des entreprises comptent moins de 250 emplois et sont donc des PME (OFS, statistique structurelle des entreprises). Côté menaces, l'Office fédéral de la cybersécurité (OFCS, ex-NCSC) a reçu 64 733 signalements de cyberincidents en 2025, contre 62 954 en 2024. Ces signalements ne sont pas tous des attaques de sites web, mais ils rappellent que la menace est constante. Les attaques automatiques ne choisissent pas leurs cibles selon la taille : elles cherchent des failles connues, et un site sans équipe informatique, aux mises à jour négligées et aux mots de passe réutilisés en est souvent rempli.

Les conséquences vont du défacement (votre site affiche du contenu indésirable) au vol de données clients, en passant par l'injection de code malveillant qui infecte vos visiteurs. Dans tous les cas, c'est votre réputation qui paie. Ce guide reprend les gestes qui comptent toute l'année : mises à jour, accès, sauvegardes, surveillance, qui appeler en cas de panne, et comment informer vos clients quand vous êtes indisponible.

Le certificat SSL : indispensable, et déjà en place presque partout

Le certificat SSL chiffre les échanges entre le navigateur de votre visiteur et votre serveur. Concrètement, c'est le cadenas et le « https:// » dans la barre d'adresse. Les navigateurs courants signalent comme « non sécurisé » un site qui n'en a pas, et les certificats sont gratuits via Let's Encrypt ou inclus par la plupart des hébergeurs. Si votre site affiche encore « http:// » sans le « s », la correction est urgente et rapide.

Le cadenas ne suffit toutefois pas à se rassurer : selon notre étude, parmi les entreprises étudiées, 97,7 % des 4 388 sites lus sont servis en HTTPS. Le risque se trouve donc ailleurs, dans les comptes d'accès, les mises à jour oubliées et les sauvegardes jamais testées.

Les mises à jour : votre première ligne de défense

Un site WordPress non mis à jour est comme une porte laissée ouverte. Des vulnérabilités sont découvertes en continu dans les CMS, les thèmes et les extensions, et les correctifs ne protègent que ceux qui les appliquent.

Les chiffres de Sucuri, qui analyse des sites piratés, le montrent : dans son rapport 2023, 39,1 % des CMS étaient périmés au moment de l'infection. WordPress s'en sort légèrement mieux que la moyenne grâce à ses mises à jour automatiques (49,8 % de CMS périmés contre 50,58 % pour l'ensemble, selon le rapport 2022). Le vrai point faible, ce sont les extensions : Contact Form 7, Freemius et WooCommerce figurent parmi les composants vulnérables les plus souvent détectés par Sucuri.

Ce qu'il faut faire concrètement :

• Mettre à jour le CMS dès qu'une nouvelle version sort. WordPress, Joomla, Drupal, peu importe : les mises à jour mineures corrigent souvent des failles de sécurité.
• Passer les extensions en revue chaque mois. Supprimez celles que vous n'utilisez plus. Une extension inactive reste une porte d'entrée si elle contient une vulnérabilité, et une extension abandonnée par son développeur ne sera plus corrigée.
• Automatiser quand c'est possible. WordPress permet d'activer les mises à jour automatiques des versions mineures et des extensions. Pour un site vitrine, c'est un bon compromis entre sécurité et praticité, à condition de vérifier de temps en temps que le site fonctionne toujours.
• Désigner la personne qui s'en charge. Si personne n'est responsable, personne ne le fait. Avant une absence prolongée, appliquez les mises à jour en attente ou confiez la surveillance à votre prestataire : une vulnérabilité non corrigée pendant des semaines, sans personne aux commandes, est le scénario que les attaquants attendent.

Mots de passe et accès : les erreurs les plus courantes

Un mot de passe comme « admin123 » fait partie des premières choses qu'un robot essaie lors d'une attaque par force brute.

• Utilisez un gestionnaire de mots de passe. Bitwarden (gratuit et open source), 1Password ou le trousseau iCloud sur Mac. Un bon mot de passe fait au moins 16 caractères et ne ressemble à rien de mémorisable : votre gestionnaire s'en charge.
• Changez l'adresse de connexion par défaut. Sur WordPress, la page /wp-admin est connue de tous les robots. Des extensions comme WPS Hide Login permettent de la déplacer en quelques clics.
• Activez l'authentification à deux facteurs. Un code supplémentaire, envoyé sur votre téléphone à chaque connexion. Même si quelqu'un obtient votre mot de passe, il ne peut pas accéder au site sans votre smartphone. Des extensions comme WP 2FA s'installent en quelques minutes.
• Limitez les tentatives de connexion. Par défaut, WordPress autorise un nombre illimité d'essais. Une extension comme Limit Login Attempts Reloaded bloque les adresses après quelques échecs.
• Un compte par personne, et le ménage régulier. Supprimez les comptes des anciens collaborateurs et des prestataires dont la mission est terminée.

Les passkeys, que prennent en charge Apple, Google et Microsoft, remplacent le mot de passe par une clé cryptographique propre à chaque site, déverrouillée par l'empreinte digitale ou le visage. Elles ne sont pas encore proposées partout pour l'administration d'un site : si votre CMS ou votre extension de sécurité les offre, activez-les, et gardez un mot de passe fort en solution de secours au cas où vous perdez votre appareil.

Les sauvegardes : à tester, pas seulement à activer

Même avec toutes les précautions, un incident reste possible. La seule vraie garantie, c'est de pouvoir restaurer votre site à un état antérieur en quelques minutes. Une bonne stratégie de sauvegarde comprend trois éléments :

• Des sauvegardes automatiques quotidiennes, pas manuelles : les sauvegardes manuelles ne se font jamais régulièrement.
• Un stockage externe, séparé de l'hébergement : si le serveur est compromis, les sauvegardes ne doivent pas l'être aussi.
• Un test de restauration au moins une fois par trimestre, pour vérifier que les sauvegardes fonctionnent réellement.

De nombreux hébergeurs proposent des sauvegardes automatiques dans leurs formules. Vérifiez leur fréquence, la durée de conservation et la façon de restaurer. Si votre hébergeur n'en propose pas, des solutions comme UpdraftPlus (WordPress) ou des tâches planifiées sur mesure font le travail.

Surveillance : être prévenu avant vos clients

Un site peut tomber sans que personne ne s'en aperçoive pendant des jours : un week-end, une nuit, une période de congés. Un service de surveillance de disponibilité vérifie à intervalles réguliers que le site répond, et vous envoie un message (email, SMS) quand ce n'est plus le cas. Plusieurs services proposent une offre gratuite ou peu coûteuse : vérifiez que ses conditions autorisent un usage professionnel, et choisissez un canal d'alerte que vous lisez vraiment, y compris loin du bureau.

Pensez aussi aux dates d'expiration du nom de domaine et du certificat SSL. Un oubli de renouvellement coupe un site aussi sûrement qu'une panne.

En cas de panne : qui appeler, et ce qu'il faut préparer avant

Le moment de chercher qui appeler n'est pas celui où le site est tombé. Préparez une fiche d'une page, accessible à plus d'une personne :

• le contact de votre prestataire de maintenance et le moyen de le joindre en urgence ;
• le support de votre hébergeur : canal (email, ticket, téléphone) et horaires, en vérifiant qu'il répond hors des heures de bureau ;
• l'endroit où se trouvent les identifiants d'hébergement, de nom de domaine et d'administration du site, par exemple dans un gestionnaire de mots de passe partagé, consultable depuis votre téléphone ;
• la personne qui décide en cas d'incident, et celle qui la remplace pendant une absence ;
• l'emplacement de la dernière sauvegarde saine et la manière de la restaurer.

Si vous confiez la maintenance à un prestataire, demandez par écrit ce qui est couvert, les délais de réaction et ce qui est facturé en plus.

Horaires exceptionnels et fermetures : informer sans mettre le site hors ligne

Fermeture annuelle, pont, jour férié, travaux : votre site et votre fiche d'établissement Google continuent de recevoir des visiteurs. Informer clairement évite les formulaires sans réponse, les déplacements pour rien et les avis agacés.

• Sur le site. Un bandeau discret en haut de la page d'accueil, avec les dates de fermeture et de reprise. Factuel, sans excuses inutiles : « Notre bureau est fermé du 22 décembre au 5 janvier. Les demandes seront traitées dès notre retour. »
• Sur la fiche d'établissement Google. Google permet de définir des horaires exceptionnels : mettez-les à jour avant la fermeture. En Suisse, les jours fériés cantonaux (Jeûne genevois, Lundi du Jeûne vaudois) s'ajoutent. Selon notre étude, 21,7 % des fiches Google mesurables, sur 4 204, n'affichent aucun horaire : plus d'une fiche sur cinq. Notre guide de la fiche d'établissement Google détaille les réglages.
• Sur les réseaux sociaux. Une publication épinglée avec les dates évite les messages restés sans réponse.
• Dans les réponses automatiques. Un autorépondeur sur le formulaire de contact et sur l'email professionnel, avec la date de retour, un délai de réponse réaliste après la reprise et, si besoin, un numéro d'urgence. Évitez « nous vous répondrons dans les plus brefs délais » quand le bref délai est de deux semaines : écrivez la date.
• Pour une boutique en ligne. Si vous ne pouvez pas expédier, désactivez temporairement l'achat ou affichez clairement le délai de traitement rallongé. Un client qui paie et reste sans nouvelles finit par contester le paiement.

La conformité nLPD : sécurité et protection des données vont ensemble

Depuis septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur. Elle demande aux entreprises suisses de protéger les données personnelles qu'elles collectent, et prévoit des amendes jusqu'à 250 000 CHF, qui visent la personne physique responsable (LPD). Pour un site web, cela se traduit notamment par trois points :

• Une information claire sur les cookies et les traceurs que votre site dépose (mesure d'audience, publicité), avec un moyen de refuser ceux qui ne sont pas indispensables.
• Une politique de confidentialité à jour, qui indique quelles données vous collectez (formulaires, mesure d'audience, cookies), pourquoi, et où elles sont traitées. Si vous utilisez un outil d'un fournisseur étranger, mentionnez-le.
• Un hébergement dont vous connaissez l'emplacement. Héberger votre site en Suisse reste un choix simple à expliquer à vos visiteurs (pourquoi choisir un hébergement suisse).

Le détail est dans notre check-list de conformité nLPD pour les sites web.

Hameçonnage et formulaires piégés

Les attaquants se servent d'outils d'intelligence artificielle pour rédiger des emails de phishing en français correct, parfois personnalisés avec le nom de votre entreprise. Les messages imitent des factures d'hébergeurs, des notifications d'opérateurs ou des relances d'administrations, et peuvent tromper des professionnels aguerris. Trois réflexes aident :

• Vérifiez toujours l'adresse de l'expéditeur, pas seulement le nom affiché.
• Ne cliquez jamais sur un lien d'email pour vous connecter à un service : tapez l'adresse directement dans votre navigateur.
• Formez vos collaborateurs : un exercice simulé de temps en temps vaut mieux qu'une compromission réelle.

Les formulaires de contact attirent aussi les robots, qui envoient des messages crédibles contenant des liens malveillants. Sans captcha ni filtre anti-spam, c'est le moment d'en ajouter un.

Mini-audit sécurité : 15 minutes pour faire le point

Vous n'avez pas besoin d'un expert pour un premier diagnostic. Passez ces points en revue :

• Ouvrez votre site dans Chrome et regardez la barre d'adresse. Cadenas présent ? Bien. « Non sécurisé » ? Problème urgent.
• Vérifiez la liste des utilisateurs dans votre CMS : tout profil que vous ne reconnaissez pas doit être supprimé immédiatement.
• Passez votre site dans un scanner gratuit comme Sucuri SiteCheck ou Security Headers. Ces outils détectent ce qui est visible de l'extérieur : en-têtes HTTP manquants, bibliothèques JavaScript obsolètes, présence sur des listes noires.
• Connectez-vous au panneau de votre hébergeur et regardez la date de la dernière sauvegarde. Si elle remonte à plus d'une semaine, quelque chose ne va pas.

Ce mini-audit ne remplace pas un audit professionnel, mais il attrape les problèmes les plus courants.

Les signaux d'alerte à surveiller

Comment savoir si votre site a été compromis ? Certains signes ne trompent pas : le site redirige vers des pages que vous n'avez pas créées, du contenu apparaît sans que vous l'ayez publié, Google Search Console affiche des alertes de sécurité, votre hébergeur signale un usage anormal des ressources, ou des administrateurs que vous ne reconnaissez pas apparaissent dans votre CMS.

Si l'un de ces symptômes se manifeste, agissez vite : changez tous les mots de passe, restaurez une sauvegarde saine, mettez tout à jour, et contactez votre prestataire web ou un spécialiste en sécurité, grâce à la fiche préparée plus haut.

Confier la maintenance à un prestataire

Mises à jour, sauvegardes, surveillance, intervention en cas de panne : ces tâches sont régulières et demandent un suivi dans la durée. Chez Tekio, un abonnement mensuel couvre l'hébergement sécurisé, le certificat SSL, les sauvegardes quotidiennes, la maintenance et le support. La page support continu détaille ce qui est inclus, et notre page de création de site internet explique comment un projet est cadré, sur devis.

FAQ

Mon site est petit, est-il vraiment une cible ?

Oui. Les attaques automatisées ne font pas de distinction entre un site à 100 visiteurs et un site à 100 000. Des robots parcourent internet en permanence à la recherche de vulnérabilités connues. La taille de votre entreprise n'a pas d'importance : c'est la présence d'une faille qui compte.

Que doit inclure un contrat de maintenance ?

Demandez par écrit ce qui est couvert : mises à jour du CMS et des extensions, sauvegardes (fréquence, durée de conservation, restauration), surveillance de la disponibilité, délai de réaction en cas de panne, et ce qui est facturé en plus. Comparez ensuite avec le coût d'une remise en état après un piratage : temps perdu, données à restaurer, confiance des clients entamée. Pour situer les postes d'un budget, voyez combien coûte un site web en Suisse.

Faut-il un pare-feu pour un site web de PME ?

Un pare-feu applicatif (WAF) filtre le trafic malveillant avant qu'il n'atteigne votre site. Certains fournisseurs, comme Cloudflare, proposent une offre gratuite qui bloque déjà une partie des attaques courantes. C'est une couche de protection supplémentaire, à configurer avec soin : elle ne remplace ni les mises à jour ni les sauvegardes.

Comment vérifier si mon site a déjà été compromis sans le savoir ?

Tapez « site:votredomaine.ch » dans Google. Si des pages apparaissent que vous n'avez pas créées (souvent en anglais, sur des sujets pharmaceutiques ou de paris en ligne), votre site a probablement été piraté. Consultez aussi Google Search Console pour les alertes de sécurité, et passez votre adresse dans VirusTotal pour un scan multi-antivirus gratuit.

Faut-il mettre son site en maintenance pendant une fermeture ?

Non. Votre site continue d'attirer des visiteurs et de générer des impressions sur Google même quand vous êtes fermé : le mettre hors ligne reviendrait à décrocher votre enseigne. Laissez-le en ligne, avec les informations de fermeture bien visibles, et vérifiez avant de partir que les sauvegardes et la surveillance fonctionnent.

Les sites qui ne sont pas sur WordPress sont-ils plus sûrs ?

Pas automatiquement. WordPress est souvent cité dans les statistiques de piratage parce qu'il propulse 41,2 % de tous les sites (W3Techs, août 2026) : c'est une question de volume, pas de qualité. Un site sur mesure codé sans précaution sera aussi vulnérable. Ce qui fait la différence, c'est la maintenance : mises à jour régulières, mots de passe solides, sauvegardes testées. Le CMS importe moins que les habitudes de celui qui le gère.