Prévenir le piratage d'un site web

Comprenez d'abord comment cela tourne mal

La plupart des sites web ne sont pas attaqués de façon ciblée. Des scanners automatisés visitent jour et nuit des adresses aléatoires sur internet et recherchent des failles connues. Dès qu'une faille est rendue publique quelque part, ces bots partent à la recherche des sites qui n'ont pas encore installé la mise à jour correspondante. Vous n'avez donc pas besoin d'être une cible intéressante pour devenir une victime — il suffit d'avoir du retard.

La checklist pratique

• Suivez les mises à jour. Le noyau de votre CMS, les thèmes et les extensions : installez rapidement les mises à jour de sécurité. C'est de loin la mesure la plus importante.
• Utilisez des mots de passe forts et uniques. Longs et utilisés nulle part ailleurs, conservés dans un gestionnaire de mots de passe. Un mot de passe divulgué ne doit jamais ouvrir plusieurs systèmes.
• Activez la double authentification sur votre CMS et sur votre panneau d'hébergement. Même avec le bon mot de passe, un attaquant n'entre alors pas.
• Limitez le nombre d'extensions. Chaque plug-in est du code supplémentaire qui peut contenir une faille. Supprimez ce que vous n'utilisez pas — désactivé n'est pas la même chose que supprimé.
• Choisissez soigneusement ce que vous installez. N'utilisez que des extensions activement maintenues, et jamais de versions illégales de thèmes payants.
• Faites le ménage dans les comptes. N'accordez à chacun que les droits nécessaires et supprimez les comptes des personnes qui sont parties.
• Assurez-vous d'avoir des sauvegardes qui fonctionnent. Elles n'empêchent pas un piratage, mais déterminent la vitesse à laquelle vous vous en remettez ; voir les sauvegardes expliquées.
• Utilisez https. Un certificat valide protège le trafic depuis et vers vos visiteurs ; voir Certificat SSL et https.
• Choisissez un hébergement solide. Un logiciel serveur à jour, des pare-feu et une surveillance du côté de votre hébergeur arrêtent beaucoup de choses.
• Gardez un œil dessus. Remarquez vous-même que le site est inaccessible ou qu'il change, plutôt qu'un client vous appelle.

Moins de composants, moins de risques

La mesure la plus structurelle consiste à réduire votre surface d'attaque : ce qui n'existe pas ne peut pas être piraté non plus. Un site web sans CMS n'a pas de page de connexion, pas de base de données et pas d'extensions qui vieillissent. Cela élimine précisément la partie où se produisent la plupart des intrusions. Pour les sites de présentation, c'est souvent le choix le plus serein ; le contexte est expliqué sur site web impossible à pirater.

Un CMS n'a-t-il alors aucun intérêt ?

Bien sûr que si — un CMS est excellent lorsque vous publiez souvent vous-même. La condition est que la maintenance soit prise au sérieux. Un site WordPress ou Joomla bien tenu à jour se sécurise très bien ; un site négligé, non, quel que soit le logiciel qui tourne dessous. Si vous souhaitez confier cela à quelqu'un, consultez maintenance de site web ou lisez ce que recouvre exactement la maintenance.

Malgré tout, quelque chose a mal tourné ?

Aucune mesure n'offre une garantie à cent pour cent. Si vous constatez des signes d'infection, suivez le plan par étapes dans site web piraté : que faire. Plus vite vous agissez, plus les dégâts sont limités.