Un site piraté, c'est un site qui disparaît de Google, qui envoie du spam à vos clients ou qui laisse fuiter leurs données. Les petites structures ne sont pas épargnées : la plupart des attaques sont automatisées et visent n'importe quel site mal protégé. Voici les réflexes qui écartent l'essentiel des risques.
1. Mettre à jour, sans attendre
CMS, extensions, bibliothèques, serveur : la majorité des intrusions exploitent des failles déjà connues et corrigées. Appliquer les mises à jour de sécurité rapidement est la mesure la plus efficace.
2. Sauvegarder, et tester la restauration
Gardez plusieurs copies récentes, dont une hors de votre hébergement. Une sauvegarde qui n'a jamais été restaurée n'est qu'une promesse : vérifiez de temps en temps qu'elle fonctionne vraiment.
3. Des mots de passe uniques, et la double authentification
Un mot de passe différent pour chaque accès, stocké dans un gestionnaire de mots de passe, et la double authentification activée partout où c'est possible : administration du site, hébergement, nom de domaine, messagerie.
4. Donner le moins de droits possible
Chaque personne n'a accès qu'à ce dont elle a besoin. Un rédacteur n'a pas besoin des droits d'administration, et les comptes des anciens collaborateurs doivent être supprimés.
5. HTTPS partout
Le cadenas dans la barre d'adresse chiffre les échanges entre vos visiteurs et votre site. Il est gratuit aujourd'hui, et indispensable dès qu'un formulaire existe.
6. Limiter les extensions
Chaque extension ajoutée est du code de plus à surveiller. Supprimez celles qui ne servent plus, et préférez des extensions maintenues activement.
7. Protéger les formulaires
Vérifiez les données reçues, limitez les envois répétés et protégez-vous contre les robots : un formulaire mal protégé devient vite une porte d'entrée ou une source de spam.
8. Collecter le minimum de données
Une donnée que vous ne collectez pas ne peut pas fuiter. Ne demandez que ce dont vous avez réellement besoin, et précisez à quoi elle sert : c'est aussi une exigence du RGPD.
9. Surveiller
Une alerte quand le site tombe, quand un certificat expire ou quand des connexions suspectes se multiplient permet de réagir avant que vos clients ne s'en aperçoivent.
10. Prévoir la marche à suivre en cas d'incident
Qui prévenir, comment remettre le site en ligne, quelles obligations envers vos utilisateurs si des données personnelles sont touchées : y réfléchir avant évite de perdre des heures précieuses le jour où cela arrive.