Prévenir le piratage d'un site web repose sur quelques habitudes constantes : mettre à jour ce qui doit l'être, utiliser des mots de passe forts et faire tourner le moins possible de logiciels dont vous n'avez pas besoin.
Comprenez d'abord comment cela tourne mal
La plupart des sites web ne sont pas attaqués de manière ciblée. Des scanners automatisés visitent jour et nuit des adresses au hasard sur Internet, à la recherche de points faibles connus.
Dès qu'une faille est rendue publique, ces bots recherchent les sites qui n'ont pas encore installé la mise à jour correspondante. Vous n'avez donc pas besoin d'être une cible intéressante pour devenir une victime. Il suffit d'être en retard.
La checklist pratique
- Faites les mises à jourLe noyau de votre CMS, les thèmes et les extensions : installez rapidement les mises à jour de sécurité. C'est de loin la mesure la plus importante.
- Utilisez des mots de passe forts et uniquesLongs et utilisés nulle part ailleurs, conservés dans un gestionnaire de mots de passe. Un mot de passe divulgué ne doit jamais ouvrir plusieurs systèmes.
- Activez la double authentificationSur votre CMS et votre panneau d'hébergement. Même avec le bon mot de passe, un attaquant ne peut alors pas entrer.
- Limitez le nombre d'extensionsChaque plug-in est du code supplémentaire qui peut contenir une faille. Supprimez ce que vous n'utilisez pas : désactivé n'est pas la même chose que supprimé.
- Choisissez avec soin ce que vous installezN'utilisez que des extensions activement maintenues, et jamais de versions illégales de thèmes payants.
- Faites le ménage dans les comptesN'accordez à chacun que les droits nécessaires, et supprimez les comptes des personnes qui sont parties.
- Prévoyez des sauvegardes qui fonctionnentElles n'empêchent pas un piratage, mais déterminent la rapidité avec laquelle vous vous en remettez. Voir les sauvegardes expliquées.
- Utilisez le httpsUn certificat valide protège le trafic de et vers vos visiteurs. Voir Certificat SSL et https.
- Choisissez un hébergement sérieuxUn logiciel serveur à jour, des pare-feu et une surveillance du côté de votre hébergeur arrêtent beaucoup de choses.
- Gardez un œil sur votre siteRemarquez-le vous-même si le site est inaccessible ou change, plutôt que de l'apprendre par l'appel d'un client.
Moins de composants, moins de risques
La mesure la plus structurelle consiste à réduire votre surface d'attaque : ce qui n'existe pas ne peut pas être piraté.
Ainsi, un site web sans CMS n'a ni page de connexion, ni base de données, ni extensions qui vieillissent. Disparaît ainsi précisément la partie où ont lieu la plupart des intrusions. Pour les sites vitrines, c'est souvent le choix le plus serein ; vous trouverez le contexte sur la page site web impossible à pirater.
PHP lui-même peut aussi disparaître. Ce que cela apporte lors d'une faille comme celle d'octobre 2026 est expliqué sur la page site web sans PHP.
Un CMS n'a-t-il alors aucun intérêt ?
Tout à fait : un CMS est excellent si vous publiez souvent vous-même. La condition, c'est que la maintenance soit prise au sérieux.
Tout à fait sécurisable
- Un site WordPress ou Joomla bien entretenu peut tout à fait être sécurisé.
Difficile à sécuriser
- Un site négligé ne l'est pas, quel que soit le logiciel sur lequel il repose.
Vous voulez confier cette maintenance ? Consultez alors la page maintenance de site web. Ce que recouvre exactement la maintenance, vous le découvrirez dans l'article : la maintenance de site web expliquée.
Malgré tout, quelque chose a mal tourné ?
Aucune mesure n'offre une garantie à cent pour cent. Vous voyez des signes d'infection ? Suivez alors le plan par étapes de l'article : site web piraté : que faire.
AttentionPlus vous agissez vite, plus les dégâts restent limités.