Les petits sites sont les cibles favorites des robots pirates : ils sont nombreux et souvent mal entretenus. Un site piraté, c'est une vitrine qui redirige vers des arnaques, un référencement qui s'effondre et des clients qui perdent confiance. La bonne nouvelle : la plupart des attaques se préviennent avec des mesures simples.
En bref
- La majorité des piratages exploitent des logiciels pas à jour et des mots de passe faibles.
- Une sauvegarde testée est votre assurance : sans elle, une attaque peut tout effacer.
- La sécurité est un entretien régulier, pas une action ponctuelle.
Comment les sites sont piratés
Les 10 mesures essentielles
| Mesure | Pourquoi | Fréquence |
|---|---|---|
| 1. Mises à jour | Corrigent les failles connues | Chaque mois (après test) |
| 2. Sauvegardes automatiques | Restaurer le site en cas de problème | Chaque jour, stockées ailleurs |
| 3. Mots de passe forts + gestionnaire | Empêchent les attaques par force brute | Dès maintenant |
| 4. Double authentification | Bloque l'accès même si le mot de passe fuit | Dès maintenant |
| 5. HTTPS partout | Chiffre les échanges, rassure les visiteurs | Permanent |
| 6. En-têtes de sécurité | Limitent les scripts malveillants et le clickjacking | Une fois, puis contrôle |
| 7. Comptes administrateurs à jour | Supprimer les anciens comptes inutilisés | Chaque trimestre |
| 8. Extensions officielles uniquement | Les versions piratées contiennent souvent des portes dérobées | Permanent |
| 9. Formulaires protégés | Anti-robots et limite d'envois | Une fois |
| 10. Surveillance | Être alerté vite en cas d'anomalie | Continue |
Les mots de passe et les accès
Un mot de passe court ou réutilisé sur plusieurs services est la deuxième cause de piratage. Les robots testent en permanence des millions de combinaisons et des identifiants issus de fuites de données. Trois règles suffisent à éliminer l'essentiel du risque : un mot de passe long et unique par service, un gestionnaire de mots de passe pour les retenir, et la double authentification partout où elle existe.
| Accès | Qui doit l'avoir | Protection minimale |
|---|---|---|
| Administration du site | Vous + votre prestataire (comptes séparés) | Mot de passe unique + double authentification |
| Hébergement | Vous (propriétaire), prestataire en délégation | Double authentification obligatoire |
| Registraire du domaine | Vous uniquement | Double authentification + verrouillage du domaine |
| Messagerie | Chaque utilisateur | Mot de passe unique + double authentification |
Les en-têtes de sécurité, expliqués simplement
Les en-têtes de sécurité sont des instructions que votre serveur envoie au navigateur. Ils ne se voient pas, mais ils bloquent des attaques courantes. Vous pouvez vérifier les vôtres gratuitement avec un outil comme securityheaders.com.
| En-tête | Ce qu'il empêche |
|---|---|
| Content-Security-Policy | L'exécution de scripts non autorisés (injections) |
| Strict-Transport-Security | Le retour en HTTP non chiffré |
| X-Frame-Options | L'affichage de votre site dans un cadre piégé (clickjacking) |
| X-Content-Type-Options | L'interprétation d'un fichier comme un autre type |
| Referrer-Policy | La fuite d'adresses de pages vers d'autres sites |
Les sauvegardes : la règle du 3-2-1
- 3 copies de vos données
- sur 2 supports différents
- dont 1 hors de votre hébergeur
Que faire si votre site est piraté ?
- Ne pas paniquer, ne rien supprimer
Gardez une copie de l'état actuel : elle sert à comprendre l'origine de l'attaque.
- Mettre le site en maintenance
Pour protéger vos visiteurs pendant le nettoyage.
- Changer tous les accès
Administration, hébergement, FTP, base de données, messagerie.
- Nettoyer et corriger la faille
Sinon, l'attaque se reproduira. Faites-vous accompagner si besoin.
- Prévenir Google si nécessaire
Via la Search Console, si votre site a été signalé comme dangereux.
10 juin 2025 · 4 min de lecture
20 mai 2025 · 3 min de lecture
18 mars 2025 · 4 min de lecture