Cybersécurité de votre site internet : audit et sécurisation

Pourquoi un petit site intéresse les pirates

On imagine volontiers que les pirates visent les banques et les grands groupes, et qu'un site de cinq pages pour une menuiserie ou un restaurant ne les intéresse pas. Il faut cependant garder à l'esprit que la plupart des attaques sont automatiques : des robots parcourent le web jour et nuit, essaient les mêmes failles connues sur des millions d'adresses et s'arrêtent sur le premier site qui répond. Personne n'a choisi le vôtre, il était simplement ouvert.

Concrètement, un site piraté sert rarement à voler l'entreprise elle-même. Il sert à envoyer du spam, à héberger une fausse page de banque (le hameçonnage, ou phishing) ou à rediriger vos visiteurs vers des sites douteux. Pour vous, la note arrive autrement : Google affiche un avertissement rouge avant d'ouvrir le site, l'hébergeur le suspend, et un référencement construit en plusieurs années s'effondre en quelques jours.

Il y a aussi les données. Un formulaire de contact, un espace client ou une boutique en ligne conservent des noms, des adresses e-mail, parfois des commandes. Depuis l'entrée en application du RGPD, le 25 mai 2018, une fuite de ces données doit en principe être signalée à la CNIL dans les 72 heures (article 33). Mieux vaut l'avoir empêchée que d'avoir à l'écrire.

Nos services de cybersécurité pour votre site

Chaque site a son histoire et ses points faibles, mais on retrouve presque toujours les mêmes six chantiers. Nous intervenons sur les sites codés sur mesure comme sur ceux construits avec un CMS (WordPress, Prestashop…), entièrement à distance, partout en France.

Audit de sécurité : failles, extensions, mots de passe

L'audit est la base de tout : on ne corrige bien que ce qu'on a mesuré. Nous passons en revue les extensions et leurs versions, les comptes d'administration et leurs mots de passe, les formulaires (une injection SQL consiste à glisser du code dans un champ pour interroger la base de données), les fichiers oubliés sur le serveur et les réglages de l'hébergement. Le résultat est un rapport clair, classé par gravité, écrit pour un chef d'entreprise et pas pour un informaticien.

Mises à jour et maintenance du CMS, des thèmes et des extensions

Les CMS les plus répandus sont aussi les cibles préférées des robots : une faille publiée sur l'un d'eux concerne d'un coup des millions de sites. Leur cœur est en général bien suivi ; l'immense majorité des failles publiées chaque année se trouvent dans les extensions et les thèmes, souvent développés par une seule personne et parfois abandonnés. Nous appliquons les mises à jour, remplaçons ce qui n'est plus maintenu et retirons ce qui ne sert plus : une extension désactivée mais présente peut rester une porte.

Sauvegardes automatiques et restauration

Une sauvegarde qu'on n'a jamais restaurée n'est qu'un espoir. Nous mettons en place des copies automatiques, stockées ailleurs que sur le serveur du site (une panne ou un piratage qui touche le serveur emporte aussi ce qu'il contient), et nous vérifions qu'elles se remettent en place. Le jour où il faut repartir de la veille au soir, c'est une affaire d'heures, pas de semaines.

Certificat SSL, HTTPS et en-têtes de sécurité

Le cadenas dans la barre d'adresse veut dire que la connexion est chiffrée, pas que le site est sûr : une fausse page de banque peut parfaitement en avoir un. Nous vérifions le certificat et la redirection vers HTTPS, puis nous posons les en-têtes de sécurité (des consignes que le site donne au navigateur), comme la politique de sécurité du contenu, qui interdit d'exécuter un script venu d'ailleurs.

Formulaires, anti-spam et attaques par force brute

Une page de connexion peut recevoir des centaines d'essais de mots de passe par jour : c'est ce qu'on appelle la force brute. Nous limitons les tentatives, retirons de la vue ce qui n'a pas à être public et protégeons les formulaires contre les envois automatiques. Pour les nôtres, nous avons construit un filtre anti-spam à points, réglé sur les vrais spams reçus, sans case « je ne suis pas un robot » à faire cocher au visiteur.

Nettoyage d'un site piraté

Quand le mal est fait, l'urgence est de trouver par où le pirate est entré, sinon il revient la semaine suivante par la même porte. Nous nettoyons les fichiers et la base de données, fermons la faille, changeons tous les accès, puis demandons à Google de réexaminer le site depuis la Search Console pour faire retirer l'avertissement.

Notre méthode en 4 étapes

Chez Slekweb, celui qui trouve les failles est celui qui les corrige. Pas de rapport de quarante pages transmis à un autre prestataire qui devra tout relire : nous savons déjà où chercher, et ce que chaque correction risque de casser.

Les signes d'un site piraté

Un piratage se voit rarement au premier coup d'oeil, puisque le pirate a tout intérêt à rester discret. D'ailleurs, ce sont souvent les clients qui s'en aperçoivent les premiers, en tapant le nom de l'entreprise dans Google. Voici les signaux qui doivent vous alerter :

• vos visiteurs sont redirigés vers un autre site, souvent seulement depuis un téléphone ou en arrivant de Google ;
• Google affiche « Ce site a peut-être été piraté » sous votre lien, ou un écran rouge avant d'ouvrir la page ;
• des pages inconnues apparaissent dans les résultats de recherche, parfois en japonais ou remplies de médicaments ;
• votre hébergeur vous écrit au sujet d'envois massifs d'e-mails, ou suspend le site ;
• le site ralentit sans raison, ou un compte d'administration que vous ne connaissez pas est apparu.

Concrètement, si l'un de ces signes vous parle, ne supprimez rien dans la précipitation : les fichiers modifiés sont aussi les traces qui disent par où le pirate est passé. Changez les mots de passe de l'hébergement et de l'administration, puis appelez-nous. Le dispositif national Cybermalveillance.gouv.fr publie aussi des fiches de premiers réflexes, bonnes à garder sous la main.

La sécurité des sites internet en 2026

En 2026, les attaquants se servent eux aussi de l'intelligence artificielle : pour écrire des e-mails de hameçonnage sans une faute, pour lire plus vite le code d'une extension et y repérer une faille. Le délai entre la publication d'une faille et les premières attaques se compte désormais en jours, parfois en heures. Un site qu'on met à jour « quand on y pense » a donc toujours un temps de retard.

L'IA travaille aussi dans l'autre sens, et c'est notre façon de faire : nos 20 ans de développement guident l'analyse, l'IA nous aide à relire le code ligne par ligne et à repérer ce qu'un oeil fatigué laisserait passer. Et la meilleure protection reste le code qu'on n'a pas eu besoin d'écrire : nos sites vitrines sans CMS n'ont ni extension à mettre à jour, ni page d'administration connue de tous les robots.

Il existe peut-être une faille sur votre site que personne n'a jamais cherchée ! En reprenant un back-office écrit une quinzaine d'années plus tôt, nous avons trouvé des boutons « Supprimer » qui effaçaient une donnée par un simple lien : il suffisait qu'un navigateur précharge la page pour perdre une ligne, sans le moindre pirate. Le logiciel fonctionnait très bien, et c'est justement pour ça que personne n'était allé regarder.

Audit ponctuel ou suivi mensuel

Deux formules, selon ce dont votre site a besoin. L'audit ponctuel fait le point une fois : analyse, rapport classé par gravité, correction des failles les plus graves. C'est le bon choix avant une mise en ligne, après un piratage, ou quand vous reprenez un site construit par quelqu'un d'autre.

Le suivi mensuel prend le relais : mises à jour, sauvegardes vérifiées, surveillance, et un compte rendu court chaque mois. Les deux sont sur devis, gratuit et envoyé sous 48 h, après un premier échange pour comprendre votre site. Pour une boutique Prestashop ou une application métier, l'audit s'adapte à ce que le site manipule : paiements, comptes clients, données internes.

FAQ : la sécurité de votre site, en 5 questions

Combien coûte un audit de sécurité de site internet ?

Le prix dépend de la taille du site et de sa technologie : un site vitrine de dix pages ne demande pas le même travail qu'une boutique de plusieurs milliers de produits. Le devis est gratuit, envoyé sous 48 h après un premier échange, et vous savez ce que vous payez avant que nous commencions.

Mon site WordPress est-il vulnérable ?

Pas forcément : le cœur du logiciel est bien maintenu. Le risque vient presque toujours des extensions et des thèmes qui ne sont plus mis à jour, et des mots de passe d'administration trop simples. Un audit dit en quelques jours où en est votre site.

Que faire si mon site a été piraté ?

Ne supprimez rien dans la précipitation, car les fichiers modifiés montrent par où le pirate est entré. Changez les mots de passe de l'hébergement et de l'administration, puis faites appel à un spécialiste pour nettoyer le site, fermer la faille et demander à Google de retirer son avertissement.

Le HTTPS suffit-il à protéger un site ?

Non. Le HTTPS chiffre la connexion entre le visiteur et le site, ce qui empêche d'intercepter ce qui transite, mais il ne protège ni les extensions, ni les mots de passe, ni les formulaires. Une fausse page de banque peut, elle aussi, afficher un cadenas.

À quelle fréquence faut-il mettre à jour un site ?

Une mise à jour de sécurité s'applique dès sa publication, dans les jours qui suivent au plus tard, car les attaques arrivent vite. Pour le reste, un contrôle mensuel suffit. Un site codé sur mesure, sans extension, en demande beaucoup moins qu'un CMS chargé d'extensions.

Explorer nos autres services