Pas besoin d'être développeur pour vérifier les bases de la sécurité d'un site web professionnel. Voici dix points concrets à contrôler — la plupart en quelques clics, sans accès technique au serveur.
La checklist
- Le site est-il en HTTPS partout ? Un cadenas dans la barre d'adresse sur toutes les pages, pas seulement l'accueil.
- Le certificat SSL est-il valide et à jour ? Un certificat expiré déclenche des avertissements qui font fuir les visiteurs.
- Le CMS et les plugins sont-ils à jour ? WordPress, Prestashop et consorts publient régulièrement des correctifs de sécurité — une version obsolète est une porte ouverte connue.
- Les mots de passe administrateur sont-ils robustes ? Uniques, longs, jamais réutilisés d'un autre service.
- L'authentification à deux facteurs est-elle activée sur les accès d'administration (hébergeur, CMS, boîtes email professionnelles) ?
- Les sauvegardes sont-elles automatiques et testées ? Une sauvegarde qui n'a jamais été restaurée n'est pas une garantie.
- Les formulaires sont-ils protégés contre le spam et les envois automatisés ?
- Des fichiers sensibles sont-ils accessibles publiquement (fichiers de configuration, sauvegardes, journaux) ?
- Les en-têtes de sécurité du site sont-ils configurés (protection contre le détournement de contenu, le clickjacking, etc.) ?
- Le site a-t-il été audité récemment ? Une vérification datant de plus de quelques mois ne reflète plus l'état réel du site.
Le point le plus souvent négligé
Le dernier point est aussi le plus fréquemment oublié : la sécurité d'un site n'est jamais acquise définitivement. Chaque mise à jour, chaque nouvelle fonctionnalité peut rouvrir une brèche corrigée entre-temps.
Vérifier ces points automatiquement
Plusieurs de ces points (certificats, en-têtes, fichiers exposés, composants obsolètes) peuvent être vérifiés automatiquement en quelques minutes. CYBERIA propose un scan gratuit qui contrôle ces éléments et remet un rapport clair avec un score de sécurité sur 100.