Sécurité d'un site web : ce que les TPE et PME sous-estiment

« Pourquoi quelqu'un s'en prendrait à mon site, je suis juste un artisan. » J'entends cette phrase régulièrement, et elle part d'un bon sentiment mais d'une mauvaise hypothèse. La plupart des attaques ne visent pas une entreprise en particulier. Elles visent des failles connues, à grande échelle, sur des milliers de sites à la fois, sans distinction de taille. Un site vitrine mal protégé est une cible aussi valable qu'un autre, parfois même plus simple à atteindre.

La conséquence n'est pas toujours spectaculaire. C'est rarement un écran noir avec un message de rançon. C'est plus souvent silencieux : des pages de spam injectées dans votre site sans que vous le voyiez, une redirection vers un site douteux qui s'active uniquement pour certains visiteurs, ou une boîte mail compromise qui sert à envoyer du phishing en votre nom. Le jour où Google le détecte et affiche un bandeau d'avertissement devant votre site, le mal est fait depuis longtemps.

La faille numéro un : les extensions, pas le cœur du système

La grande majorité des sites piratés dans le monde tournent sous WordPress. Ce n'est pas parce que WordPress est mal conçu : c'est parce que son écosystème de plugins et de thèmes, souvent développés par des tiers, sans obligation de maintenance, concentre l'essentiel des failles. Un site vitrine construit avec dix extensions installées au fil des années, dont la moitié n'a plus été mise à jour depuis deux ans, présente autant de portes d'entrée potentielles que d'extensions installées.

C'est le revers d'un vrai avantage : ces plateformes permettent d'ajouter une fonctionnalité en trois clics. Mais chaque plugin ajouté est un bout de code écrit par quelqu'un d'autre, exécuté sur votre site, avec un accès complet à votre base de données. Personne ne vérifie ce code avant de l'installer.

Le mot de passe oublié, angle mort classique

C'est un détail qu'on regarde rarement, et pourtant : que se passe-t-il quand un utilisateur oublie son mot de passe ? Sur beaucoup de sites bricolés au fil du temps, la réponse est « rien de prévu », ou pire, un système de secours ajouté à la va-vite, sans réflexion sur sa robustesse. Un lien de réinitialisation mal conçu, valable indéfiniment ou devinable, est une porte d'entrée en libre-service pour n'importe qui.

C'est un point sur lequel nous avons été particulièrement stricts en construisant le Kodee Portal : chaque lien de réinitialisation est un jeton à usage unique, valable une heure, impossible à deviner ou à réutiliser. Un détail invisible pour l'utilisateur final, mais qui fait toute la différence le jour où quelqu'un essaie d'en abuser.

Qui a le droit de voir quoi, dans votre propre site

Si votre site permet à des clients ou des collaborateurs de se connecter, la question centrale est simple : qui peut voir quoi, et qui peut modifier quoi. Beaucoup de plateformes gèrent mal cette séparation. Un compte client mal cloisonné peut, dans certains cas documentés, accéder à des données d'un autre client, ou pire, s'octroyer des droits qu'il ne devrait pas avoir.

« La sécurité d'un espace client ne se voit jamais de l'extérieur. Elle se voit uniquement le jour où quelqu'un essaie de la contourner. »

Sur le Kodee Portal, chaque client ne voit que son propre projet, ne peut agir que sur ses propres données, et un contrôle serveur empêche explicitement toute tentative de s'attribuer un rôle plus élevé que le sien. Ce n'est pas une option qu'on active : c'est la base sur laquelle tout le reste est construit.

Ce que change un site en code sur-mesure

Un site développé sur-mesure, sans CMS générique ni marketplace de plugins, réduit mécaniquement la surface d'attaque. Il n'y a pas d'extension tierce à maintenir, pas de panneau d'administration standardisé que tout le monde sait chercher à l'adresse habituelle, pas de faille publiée la semaine dernière touchant des dizaines de milliers de sites d'un coup. Ce n'est pas une garantie absolue, aucun site ne l'est, mais c'est une surface de risque bien plus restreinte et bien plus facile à surveiller.

L'autre différence tient à la maintenance. Un site livré avec hébergement géré ne dépend pas de vous pour appliquer les mises à jour de sécurité à temps. C'est un point que beaucoup de propriétaires de sites découvrent trop tard : la responsabilité de maintenir un CMS à jour leur revenait entièrement, et personne ne le faisait plus après la livraison du site.

Une vérification rapide sur votre site actuel

Quelques points à contrôler dès aujourd'hui, quel que soit qui a construit votre site :

• Votre site est-il servi en HTTPS partout, sans page accessible en HTTP ?
• Combien d'extensions ou de plugins sont installés, et depuis quand n'ont-ils pas été mis à jour ?
• Le mot de passe administrateur est-il unique, ou réutilisé ailleurs ?
• Existe-t-il un système de réinitialisation de mot de passe, et sait-on comment il fonctionne réellement ?
• Des sauvegardes automatiques existent-elles, et ont-elles déjà été testées en restauration ?
• Si plusieurs comptes ont accès à votre site, chacun a-t-il uniquement les droits dont il a besoin ?

Un site vitrine simple a-t-il vraiment besoin de tout ça ?

Oui, et c'est justement là que le raisonnement se trompe le plus souvent. Un site vitrine sans espace client semble présenter peu d'enjeux. Mais il reste une porte vers votre hébergement, votre boîte mail professionnelle, et votre réputation sur Google. Un site compromis qui se met à envoyer du spam peut faire blacklister votre domaine de messagerie du jour au lendemain, bien au-delà du site lui-même.

La sécurité n'est pas un supplément réservé aux gros projets. C'est une conséquence directe de la façon dont un site est construit dès le départ, pas une couche qu'on ajoute après coup.

Chez Kodee Web Studio, la sécurité n'est pas un poste facturé à part : elle fait partie du développement, comme le SEO ou la performance. Si vous voulez un avis honnête sur l'état de sécurité de votre site actuel, écrivez-nous : on regarde ensemble, sans engagement.