Protéger son site contre les cyberattaques courantes : le guide pour TPE

Un site internet, même modeste, est une cible. Pas forcément parce qu’un pirate s’intéresse à votre entreprise en particulier, mais parce que des robots parcourent le web en permanence à la recherche de portes mal fermées : un identifiant « admin », une extension vieille de deux ans, un formulaire mal protégé. Ce guide fait le point sur les attaques réellement observées chez les petites entreprises et sur les mesures concrètes, souvent gratuites, pour s’en protéger.

Pourquoi la sécurité de votre site vous concerne

Votre site est la vitrine de votre activité. Il contient souvent bien plus qu’on ne le pense : formulaires de contact avec les coordonnées de vos prospects, comptes clients, parfois des commandes et des factures. Un piratage peut se traduire par un site défiguré, une redirection vers des pages frauduleuses, l’envoi de spams depuis votre serveur ou une fuite de données personnelles.

Les conséquences ne sont pas seulement techniques. Google peut afficher un avertissement « site dangereux », votre hébergeur peut suspendre le compte, et vos clients perdent confiance. En cas de fuite de données personnelles, vous avez aussi une obligation légale : la CNIL demande d’être notifiée dans les meilleurs délais, si possible sous 72 heures, lorsque la violation présente un risque pour les personnes concernées.

Les menaces les plus courantes pour les entreprises

Le dispositif national d’assistance aux victimes publie chaque année le classement des menaces qui touchent les professionnels. Pour 2025, son top 10 place en tête :

1. le piratage de compte (21 % des parcours d’assistance, +52 % en un an) ;
2. l’hameçonnage, ou phishing (16 %) ;
3. la fraude au faux virement (13,5 %, en quasi-doublement) ;
4. les rançongiciels (8,1 %) ;
5. les violations de données (6,6 %).

Le piratage de compte et la force brute

Un compte d’administration de site, une messagerie ou un accès à l’hébergement sont des clés précieuses. Les attaquants les obtiennent en testant automatiquement des milliers de mots de passe (attaque par force brute), en réutilisant des identifiants volés sur un autre service, ou en piégeant l’utilisateur. La parade tient en trois réflexes : un mot de passe long et unique par service, un gestionnaire de mots de passe, et la double authentification partout où elle existe.

L’hameçonnage et l’ingénierie sociale

L’hameçonnage consiste à se faire passer pour un service connu (votre hébergeur, votre banque, un prétendu « support WordPress ») pour obtenir un mot de passe ou un paiement. L’ingénierie sociale joue sur l’urgence et la confiance : un faux fournisseur qui annonce un changement de RIB, un faux technicien qui demande un accès. Aucun logiciel ne remplace ici la vigilance : vérifiez l’expéditeur, ne vous connectez jamais via un lien reçu par e-mail, et confirmez par téléphone toute demande inhabituelle.

Les failles techniques du site

Côté site, les risques les plus fréquents sont recensés par l’OWASP Top 10:2025, la référence des développeurs : contrôle d’accès défaillant, mauvaise configuration, failles de la chaîne d’approvisionnement logicielle (une extension ou une bibliothèque compromise), injections, défauts d’authentification. Pour une TPE, cela se traduit très concrètement par des extensions non mises à jour, des comptes inutilisés laissés actifs et un hébergement mal configuré.

Les logiciels malveillants

Une fois une faille exploitée, le pirate dépose souvent un code malveillant : redirections vers des sites douteux, pages de spam cachées, script qui vole les données saisies dans vos formulaires. Ce code peut rester discret pendant des mois. D’où l’intérêt d’une surveillance régulière et de sauvegardes saines.

Les mesures essentielles, quel que soit votre outil

Ces règles valent pour tous les sites, qu’ils soient construits avec WordPress, Shopify, un autre CMS ou développés sur mesure.

• Des mots de passe solides et uniques. Cybermalveillance.gouv.fr recommande au moins 12 caractères variés, un mot de passe différent par service et l’usage d’un gestionnaire (KeePassXC par exemple). Commencez par votre messagerie : c’est elle qui permet de réinitialiser tous les autres comptes.
• La double authentification. Activez-la sur l’administration du site, chez l’hébergeur, chez le registraire du nom de domaine et sur la messagerie.
• Les mises à jour. Le cœur du site, le thème, les extensions et la version de PHP doivent être tenus à jour. Une faille rendue publique est vite exploitée par les robots.
• Le HTTPS. Un certificat SSL chiffre les échanges entre vos visiteurs et votre site. Il est aujourd’hui gratuit chez la plupart des hébergeurs.
• Des sauvegardes externalisées et testées. Une sauvegarde stockée sur le même serveur que le site disparaît avec lui. Vérifiez au moins une fois que la restauration fonctionne.
• Le principe du moindre accès. Un compte par personne, avec les seuls droits nécessaires. Supprimez les accès des anciens prestataires et stagiaires.
• La sensibilisation. Prenez une demi-heure avec votre équipe pour apprendre à reconnaître un faux e-mail. C’est la mesure la plus rentable de cette liste.

Le cas particulier des sites WordPress

WordPress n’est pas un hébergeur mais un logiciel, installé chez un hébergeur. Très répandu chez les TPE, il est logiquement une cible privilégiée des robots. Si votre site est construit avec WordPress, il existe des mesures spécifiques à appliquer. Le guide officiel de sécurisation de WordPress insiste notamment sur ces points :

• toujours utiliser la dernière version de WordPress, les anciennes ne recevant plus les correctifs de sécurité ;
• n’installer que des extensions et thèmes issus du répertoire officiel ou d’éditeurs reconnus, et supprimer ceux qui ne servent plus ;
• activer la double authentification ;
• désactiver l’édition de fichiers depuis l’administration (constante DISALLOW_FILE_EDIT) ;
• utiliser SFTP plutôt que FTP, et sauvegarder régulièrement fichiers et base de données.

Une extension de sécurité (Wordfence, Solid Security, Sucuri…) peut compléter ces réglages en limitant les tentatives de connexion et en surveillant les fichiers modifiés. Elle ne remplace pas les mises à jour.

Que faire si votre site est piraté ?

Gardez votre calme et procédez dans l’ordre :

1. Changez tous les mots de passe (administration, hébergement, FTP, base de données, messagerie) depuis un appareil sain.
2. Prévenez votre hébergeur ou votre prestataire : il peut isoler le site et analyser les journaux.
3. Restaurez une sauvegarde antérieure à l’attaque, puis mettez tout à jour avant de remettre en ligne.
4. Si des données personnelles ont pu fuiter, évaluez le risque et notifiez la CNIL si nécessaire.
5. Faites-vous accompagner : Cybermalveillance.gouv.fr oriente gratuitement les victimes vers des prestataires de proximité et propose des fiches réflexes.

Les erreurs à éviter

• Penser « mon site est trop petit pour intéresser quelqu’un » : les attaques sont automatisées et ne font pas le tri.
• Installer une extension pour chaque besoin : chaque extension est une porte d’entrée de plus à entretenir.
• Partager un seul compte administrateur entre plusieurs personnes.
• Faire créer un site sans prévoir qui s’occupera des mises à jour ensuite. Une offre d’hébergement et maintenance règle cette question une fois pour toutes.

La sécurité n’est pas un chantier ponctuel, c’est une routine : quelques minutes par mois suffisent quand les bonnes bases sont en place. Si vous ne savez pas où en est votre site, un audit de site internet permet de faire rapidement un état des lieux.

Questions fréquentes