Repère Sécurité Guides Vérifier son site soi-même
Ce que vous pouvez vérifier vous-même sur votre site
Neuf contrôles qu’un propriétaire de site peut faire seul, sans outil particulier et sans connaissances techniques. Chacun est accompagné de ce qu’il révèle — et surtout de ce qu’il ne dit pas.
Avant de commencer
Tout ce qui suit se fait sur votre propre site, avec les accès dont vous disposez déjà. Rien ici ne demande d’outil d’analyse, et rien ne doit être tenté sur le site de quelqu’un d’autre.
Le Centre canadien pour la cybersécurité place quatre mesures en tête de ce qu’une PME devrait faire : appliquer les correctifs, adopter une authentification robuste, sauvegarder et chiffrer les données, et disposer d’un plan en cas d’incident. Les contrôles ci-dessous vous diront où vous en êtes sur les trois premières.
Ce que dit la barre d’adresse
1. Le site répond-il en HTTPS ?
Ouvrez votre site. L’adresse doit commencer par https://. Essayez ensuite la version sans le « s » : vous devriez être renvoyé automatiquement vers la version sécurisée.
Ce que ça dit : les échanges entre vos visiteurs et le site sont chiffrés.
Ce que ça ne dit pas : à peu près tout le reste. Un site parfaitement chiffré peut avoir un compte d’administration ouvert à tous. Le cadenas prouve que la conversation est privée, pas que l’interlocuteur est en ordre.
2. Le certificat est-il à jour ?
Cliquez sur le cadenas : le navigateur affiche la date d’expiration. Un certificat qui expire dans quelques jours sans renouvellement automatique deviendra un avertissement rouge en pleine face de vos visiteurs.
Ce que ça ne dit pas : rien sur la robustesse de la configuration derrière.
3. Toutes les pages sont-elles en HTTPS ?
Naviguez sur trois ou quatre pages, dont une avec un formulaire. Si le cadenas disparaît quelque part, une ressource de la page est chargée sans chiffrement.
Vos comptes
4. Qui a un accès d’administration ?
Connectez-vous à votre outil de gestion et ouvrez la liste des utilisateurs. Lisez-la ligne par ligne et posez-vous une seule question pour chacune : cette personne travaille-t-elle encore avec nous ?
C’est le contrôle qui rapporte le plus souvent quelque chose. L’agence qui a refait le site il y a trois ans, le stagiaire de l’été dernier, le pigiste d’un projet terminé : leurs comptes sont rarement fermés, parce que personne n’est chargé de le faire.
Ce que ça ne dit pas : si un compte a été utilisé récemment, ni par qui. La liste montre qui peut entrer, pas qui est entré.
5. La double authentification est-elle active ?
Vérifiez si vos comptes d’administration demandent un second facteur en plus du mot de passe. C’est l’une des quatre mesures prioritaires du Centre canadien pour la cybersécurité, et c’est généralement l’amélioration la plus rentable pour l’effort demandé.
6. Combien de personnes ont le rôle le plus élevé ?
La plupart des outils distinguent plusieurs niveaux. Si tout le monde est administrateur, personne ne l’est vraiment : quelqu’un qui publie des articles n’a pas besoin de pouvoir installer des composants.
Ce que le site utilise
7. Qu’est-ce qui est installé, et qu’est-ce qui sert ?
Ouvrez la liste des extensions ou modules. Deux colonnes vous intéressent : ce qui est désactivé, et ce qui n’a pas été mis à jour depuis longtemps.
La documentation de WordPress est explicite sur le premier point : un composant désactivé mais toujours installé doit être supprimé, pas laissé en place. Sur le second, un composant que son éditeur ne publie plus ne recevra jamais de correctif, quelle que soit votre diligence.
Ce que ça ne dit pas : si l’un d’eux porte une faiblesse connue. Établir cela demande de croiser chaque composant et chaque version avec les vulnérabilités publiées, et c’est un travail d’audit.
Vos formulaires
8. Où arrivent les réponses ?
Remplissez votre propre formulaire de contact et suivez ce qui se passe. La réponse arrive-t-elle bien ? Dans quelle boîte ? Est-elle aussi enregistrée quelque part ? Cet enregistrement, qui peut le consulter ?
Vérifiez aussi ce que vous demandez. Un formulaire de rappel n’a pas besoin d’une date de naissance ; ce que vous ne collectez pas ne peut pas fuir.
Ce que ça ne dit pas : ce que le formulaire fait de la saisie une fois reçue. Un formulaire qui transmet ailleurs qu’à vous ne provoque aucune erreur visible.
Vos sauvegardes
9. En avez-vous, et savez-vous les restaurer ?
Deux questions, pas une. Beaucoup de sites ont des sauvegardes ; beaucoup moins de propriétaires ont déjà vu une restauration fonctionner. Demandez à votre hébergeur ou à votre prestataire à quelle date remonte la plus ancienne sauvegarde disponible, et combien de temps prendrait un retour en arrière.
Vérifiez aussi qu’elles ne sont pas stockées uniquement sur le serveur du site. Une sauvegarde qui vit au même endroit que ce qu’elle protège disparaît avec lui.
Ce que cette liste ne remplace pas
À retenir
Ces neuf points portent sur ce qui se constate depuis la surface, avec les accès que vous avez déjà. Ils ne disent rien de la manière dont votre site traite ce qu’on lui envoie, ni des règles d’accès entre vos différents espaces, ni de ce que vos composants exposent réellement.
Aucun résultat rassurant ici ne signifie que le site est en ordre. Ces contrôles ne peuvent que révéler des problèmes, jamais confirmer leur absence.
Si l’un de ces neuf points vous a inquiété, la question suivante est de savoir quelle forme d’examen vous convient : audit, scan ou test d’intrusion, les différences en pratique.
Si votre site tourne sous WordPress, ce guide détaille ce qu’un audit y examine.