Sécurité du site Web d’une petite entreprise : ce qui compte vraiment

Les petites entreprises sont rarement la cible d’attaquants sophistiqués. Elles sont touchées par des attaques automatisées : des robots qui balaient des milliers de sites à la recherche des mêmes failles connues, comme un plugiciel désuet, un mot de passe faible ou une page d’administration exposée.

C’est une bonne nouvelle. Quelques choix judicieux évitent la plupart des dégâts. Aucun site n’est « impénétrable », mais un site bien conçu ne vaut pas le temps du robot.

1. Utilisez HTTPS partout

HTTPS chiffre ce que les visiteurs envoient à votre site, y compris les formulaires de contact. Les navigateurs étiquettent « Non sécurisé » les sites qui n’en ont pas, ce qui est un problème de confiance avant même d’être un problème de sécurité. Aujourd’hui, c’est gratuit et automatique chez tout bon hébergeur. Si votre site se charge encore en HTTP simple, commencez par là.

2. Réduisez ce qui peut casser

Chaque plugiciel, thème, script et intégration est du code que quelqu’un doit maintenir à jour. La plupart des compromissions de sites de petites entreprises passent par des logiciels désuets rattachés au site, plutôt que par les pages elles-mêmes.

• Retirez ce que vous n’utilisez pas.
• Préférez peu d’outils bien entretenus à une multitude de petits outils.
• Demandez-vous si une fonction exige vraiment une base de données ou une connexion.

Un site composé de pages simples, générées à l’avance et sans panneau d’administration public, offre bien moins de points d’entrée à un attaquant. C’est l’une des raisons pour lesquelles nous concevons la plupart des sites d’affaires de cette façon.

3. Protégez les accès

Les mots de passe volés ou réutilisés sont la porte d’entrée la plus courante.

• Utilisez un gestionnaire de mots de passe et des mots de passe uniques pour l’hébergeur, le registraire de domaine, le courriel et l’administration du site.
• Activez l’authentification à deux facteurs pour chacun, surtout pour votre registraire de domaine et votre courriel. Qui les contrôle contrôle votre entreprise en ligne.
• Donnez aux gens uniquement l’accès dont ils ont besoin, et retirez-le quand ils partent.

4. Faites des sauvegardes, et testez-les

Une sauvegarde que vous n’avez jamais restaurée est un espoir, pas une sauvegarde. Sachez où se trouvent les sauvegardes de votre site, à quelle fréquence elles sont faites, qui peut les restaurer et combien de temps cela prend. Gardez au moins une copie ailleurs que chez votre hébergeur.

5. Protégez vos formulaires contre les abus

Les formulaires de contact attirent le pourriel et parfois pire. Une bonne protection est surtout invisible pour les vraies personnes : une vérification anti-robot respectueuse de la vie privée, une limite sur la fréquence des envois d’une même source, la validation de ce qui est reçu, et ne jamais montrer d’erreurs techniques aux visiteurs.

6. En-têtes de sécurité et bons réglages par défaut

Votre serveur peut demander aux navigateurs d’être plus stricts : bloquer les scripts inattendus, refuser d’être intégré dans d’autres sites et éviter de divulguer de l’information. Ces en-têtes ne coûtent rien à activer et bloquent des catégories entières d’attaques. Demandez à votre développeur s’ils sont en place.

7. Sachez qui possède quoi

Un nombre surprenant d’incidents sont en réalité des problèmes de propriété : le domaine est au nom d’un ancien développeur, le compte d’hébergement appartient à un pigiste disparu, ou personne ne sait qui peut se connecter. Vous devriez posséder le domaine, le compte d’hébergement, le code et les comptes d’administration, avec votre propre authentification à deux facteurs.

8. Prévoyez le jour où quelque chose tourne mal

Décidez à l’avance : qui appelons-nous, où sont les sauvegardes, comment affichons-nous une simple page « de retour bientôt » et qui informe les clients ? Cinq minutes de préparation aujourd’hui évitent des heures de panique plus tard.

Un mot sur la vie privée

Si votre site recueille des noms ou des adresses courriel, la loi québécoise sur la protection des renseignements personnels (Loi 25) fixe des attentes sur la façon de traiter ces renseignements et sur ce que vous dites aux visiteurs. Une politique de confidentialité claire et exacte, et ne recueillir que le nécessaire, sont un bon début. Pour les détails juridiques, consultez un professionnel qualifié.

Quoi demander à votre fournisseur Web

• Qui possède le domaine, l’hébergement et le code ?
• Comment les sauvegardes sont-elles faites, et quand en a-t-on restauré une pour la dernière fois ?
• Comment les mises à jour sont-elles gérées, et par qui ?
• L’authentification à deux facteurs est-elle activée pour chaque compte d’administration ?
• Que se passe-t-il si le site tombe à 21 h ?

Si ces questions obtiennent des réponses vagues, c’est une information utile.

Vous voulez un coup d’œil rapide sur votre situation actuelle ? Parlez-nous de votre site et nous vous ferons un examen clair et pratique. Vous pouvez aussi voir notre approche pour les sites Web et le soutien informatique.