Comment savoir si notre site est sécurisé, sans être informaticien ?

« Notre site a été fait il y a quatre ans par une agence avec qui on n'a plus vraiment de contact. Il tourne, on reçoit des demandes par le formulaire, mais personne chez nous n'est informaticien. Comment savoir s'il est bien sécurisé, sans y passer des semaines ? »

La situation, telle qu'on la raconte à une IA

Le cadenas dans la barre d'adresse suffit-il ?

Non. Le cadenas signifie que le site utilise le protocole HTTPS, qui protège d'une interception les informations échangées entre l'ordinateur du visiteur et votre site¹. C'est indispensable, mais un site en HTTPS peut très bien tourner avec un logiciel jamais mis à jour.

Selon Cybermalveillance.gouv.fr, la grande majorité des attaques de sites internet exploitent des failles de sécurité connues, que les éditeurs corrigent mais que les propriétaires de sites n'appliquent pas toujours à temps². Les mises à jour, les accès et les sauvegardes comptent donc plus que le cadenas.

Les 15 questions à poser à votre prestataire

Le dispositif public Cybermalveillance.gouv.fr publie une fiche, « Mon site Internet est-il sécurisé ? », avec 15 questions à poser à votre support informatique et trois réponses possibles : oui, non, ne sait pas¹. Les voici, regroupées par thème :

Envoyez ces questions par écrit et gardez les réponses. La fiche le rappelle : ce questionnaire peut aussi servir de base au contrat qui vous lie à vos prestataires d'hébergement et de maintenance¹. Si personne ne sait répondre, c'est déjà une réponse : personne ne s'occupe de la sécurité de votre site.

Quatre vérifications gratuites à faire vous-même

1. La « Santé du site » de WordPress. Si votre site tourne sous WordPress, l'outil se trouve dans le tableau de bord, menu Outils, puis Santé du site. Il classe ce qu'il trouve en problèmes critiques, améliorations recommandées et tests réussis, et signale par exemple des extensions en attente de mise à jour, une version de PHP (le langage qui fait tourner WordPress) trop ancienne ou un site qui affiche ses erreurs aux visiteurs³.
2. Le rapport « Problèmes de sécurité » de Google Search Console. Il indique si Google a conclu que votre site a été piraté ou peut nuire aux visiteurs (contenu piraté, logiciels malveillants, pages trompeuses). Une coche verte s'affiche quand aucun problème n'est détecté⁴. Demandez à votre prestataire qui a l'accès à la Search Console du site.
3. Mozilla HTTP Observatory. Cet outil de Mozilla analyse les en-têtes HTTP du site (des réglages envoyés au navigateur à chaque page) et d'autres paramètres de sécurité, puis donne une note et des conseils de correction⁵. Une mauvaise note n'est pas une faille en soi, mais un sujet à poser à votre prestataire.
4. Qualys SSL Labs. Ce service gratuit analyse en détail la configuration HTTPS d'un serveur web⁶ et donne le détail des réglages trouvés, à transmettre tel quel à votre prestataire.

Ajoutez une vérification de bon sens : la date d'expiration de votre nom de domaine. Un nom de domaine s'enregistre pour une durée de 1 à 10 ans, et un domaine non renouvelé peut être libéré puis réutilisé par un tiers malveillant².

Quels signes doivent vous alerter ?

La documentation de WordPress liste des indices clairs de piratage : le site est signalé par Google ou Bing, l'hébergeur l'a désactivé, des visiteurs disent que leur antivirus le bloque, on vous signale que le site sert à attaquer d'autres sites, de nouveaux comptes utilisateurs sont apparus sans votre accord, ou le piratage se voit directement en ouvrant le site⁷. Ces indices valent pour tous les sites, pas seulement pour WordPress.

Si l'un d'eux apparaît, il ne s'agit plus de vérifier mais de réagir : prévenez votre hébergeur et votre prestataire le jour même, et ne supprimez rien avant d'avoir conservé des traces de ce que vous voyez.

Avez-vous le droit de tester votre propre site ?

Les quatre outils ci-dessus lisent ce que le site montre à tout visiteur. Un test d'intrusion, lui, tente d'entrer dans le système. Or accéder ou se maintenir frauduleusement dans un système informatique est puni de trois ans d'emprisonnement et de 100 000 € d'amende par l'article 323-1 du Code pénal, et les peines montent si des données sont modifiées ou si le fonctionnement est perturbé⁸.

Un test d'intrusion se fait donc seulement sur ce que vous possédez ou administrez, par un spécialiste, avec une autorisation écrite qui fixe le périmètre et les dates. Sur un hébergement partagé, vérifiez aussi les conditions de l'hébergeur.

Que demande la loi ?

Dès que votre site collecte des données personnelles, ne serait-ce que par un formulaire de contact, le RGPD s'applique. Son article 32 impose des mesures techniques et organisationnelles adaptées au risque, et prévoit notamment une procédure pour tester, analyser et évaluer régulièrement leur efficacité⁹.

La CNIL demande notamment d'utiliser TLS (la technologie derrière HTTPS) dans ses versions récentes, obligatoire sur les pages de connexion et celles qui affichent ou transmettent des données personnelles, de réserver l'administration aux personnes habilitées et de mettre à jour régulièrement les composants¹⁰.

Quand faire appel à un spécialiste ?

Ces vérifications repèrent les problèmes visibles ; elles ne remplacent pas un audit, qui examine le site comme le ferait un attaquant, avec votre accord. Faites-en faire un si le site collecte des données de clients, gère des comptes ou des paiements, ou si les réponses aux 15 questions restent floues.

Pour un premier regard gratuit sur la sécurité de toute votre structure, il existe MonAideCyber, un service de l'ANSSI : un « Aidant cyber » formé par l'ANSSI réalise gratuitement un diagnostic, puis vous remet six mesures prioritaires à mettre en œuvre dans les six mois¹¹. Le diagnostic s'adresse aux structures publiques et privées de toute taille, mais pas aux particuliers ni aux entreprises mono-salariées¹². Cybermalveillance.gouv.fr oriente aussi vers des professionnels labellisés ExpertCyber¹.

Et chez Prestalgo ?

Nous faisons des audits de sécurité de sites, d'applications et de serveurs, à partir de 500 € HT, uniquement sur autorisation écrite et dans un périmètre fixé dans la proposition. Vous recevez un rapport qui classe chaque faille par gravité, avec sa preuve et sa correction, et une synthèse lisible sans jargon. Le détail est sur la page audit de sécurité ; pour un suivi dans la durée (mises à jour, sauvegardes, surveillance), voir le contrat de maintenance et la page Tarifs.

Questions fréquentes

Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo fait tourner et maintient les applications de SAUVLife, Youngs Job et Groume.