Pourquoi la sécurité est un sujet de visibilité
Un dirigeant de PME entend « sécurité » et pense piratage. C'est le risque le plus spectaculaire, mais ce n'est pas celui qui coûte le plus cher au quotidien. Ce qui coûte cher, c'est l'accumulation de petits signaux négatifs qui pèsent sur la façon dont votre site est perçu, par les visiteurs comme par les machines.
Trois exemples concrets, tous mesurés dans nos audits :
- Vos emails commerciaux partent en indésirables parce que votre domaine n'est pas authentifié. Vous croyez à un problème de contenu, c'est un problème d'enregistrement DNS.
- Votre site affiche un avertissement à cause d'un certificat expiré ou mal configuré. Le visiteur ferme l'onglet avant même d'avoir lu une ligne.
- Un fichier de sauvegarde traîne à la racine et se télécharge par n'importe qui, avec vos identifiants de base de données dedans.
Aucun de ces trois cas n'est un piratage. Tous trois sont invisibles depuis votre navigateur, et tous trois se détectent en trente secondes depuis l'extérieur.
Chantier 1 : les en-têtes que votre serveur envoie
À chaque visite, avant même la première ligne de votre page, votre serveur envoie une série d'instructions au navigateur. Ce sont les en-têtes HTTP. Ils disent au navigateur ce qu'il a le droit de faire : quels scripts exécuter, si la page peut être affichée dans un cadre sur un autre site, quelles informations transmettre en partant.
Un site sans ces en-têtes fonctionne parfaitement. Il laisse simplement le navigateur décider seul, ce qui ouvre la porte à des attaques classiques comme l'injection de script ou le détournement de clic. Les six qui comptent vraiment sont détaillés dans notre article dédié : les en-têtes de sécurité HTTP expliqués sans jargon.
Le point important pour un dirigeant : ils se posent tous au même endroit, dans la configuration du serveur, et une seule intervention les traite en bloc. C'est le meilleur rapport entre l'effort et le nombre de points gagnés dans un audit.
Chantier 2 : le certificat et le chiffrement
Le cadenas dans la barre d'adresse signifie que la connexion entre le visiteur et votre serveur est chiffrée. C'est le minimum absolu depuis des années, et Google en fait un critère de classement depuis 2014.
Trois erreurs reviennent constamment :
- Le certificat expire. Ils durent trois mois avec Let's Encrypt, un an chez la plupart des autres. Sans renouvellement automatique, l'oubli est une question de temps, et le site devient inaccessible du jour au lendemain avec un message d'alerte rouge.
- La version non sécurisée reste accessible. Le site répond en HTTPS mais aussi en HTTP, sans redirection. Google voit alors deux sites identiques, et le contenu se dilue entre les deux adresses.
- Le certificat ne couvre pas toutes les adresses. Il couvre votre-site.fr mais pas www.votre-site.fr, ou l'inverse. Une moitié de vos visiteurs voit une alerte.
La bonne nouvelle : un certificat gratuit renouvelé automatiquement règle les trois cas, et la quasi-totalité des hébergeurs le proposent en une case à cocher.
Chantier 3 : authentifier vos emails
C'est le chantier le plus rentable et le plus ignoré. Sans authentification, n'importe qui peut envoyer un email qui semble venir de votre domaine, et vos propres messages ont toutes les chances d'arriver en indésirables.
Trois enregistrements à publier dans votre zone DNS, et une politique à durcir progressivement. Depuis février 2024, Google et Yahoo les exigent des expéditeurs qui envoient en volume : ce n'est plus une bonne pratique, c'est une condition d'accès aux boîtes de réception. Le détail est dans notre article sur SPF, DKIM et DMARC.
Un signe qui ne trompe pas : si vos clients vous disent régulièrement « je n'ai rien reçu, j'ai regardé dans les spams », le problème n'est presque jamais votre message.
Chantier 4 : ce que vous exposez sans le savoir
Un site publie plus de choses que ses pages. Des fichiers finissent en ligne par accident et restent accessibles à toute personne qui connaît leur adresse, sans le moindre piratage.
Ce qu'on trouve le plus souvent :
- Des sauvegardes nommées site.zip ou backup.sql laissées à la racine après une migration.
- Des fichiers de configuration contenant des mots de passe de base de données ou des clés d'accès à des services.
- Le listing de répertoire : un dossier sans page d'accueil affiche la liste complète de son contenu à quiconque en devine l'adresse.
- Des interfaces d'administration laissées ouvertes après une prestation.
C'est la catégorie où le risque n'est pas théorique : ces adresses sont testées en permanence par des robots automatiques, qui n'ont pas besoin de vous cibler pour vous trouver.
Par où commencer, concrètement
Dans cet ordre, parce qu'il va du plus grave au moins grave et du plus rapide au plus lent :
- Les fichiers exposés. C'est le seul chantier où un défaut peut mettre votre activité par terre. Une demi-heure.
- Le certificat et la redirection. Visible par tous vos visiteurs, et critère de classement. Une heure.
- Les en-têtes HTTP. Une seule intervention, beaucoup de points gagnés. Une heure.
- L'authentification des emails. Le plus long parce qu'il faut observer avant de durcir, mais le plus rentable commercialement. Quelques jours d'observation.
Notre audit gratuit mesure ces quatre chantiers depuis l'extérieur, exactement comme le ferait un visiteur ou un robot, et vous dit lesquels sont ouverts chez vous. La méthodologie détaille ce que nous mesurons et, tout aussi important, ce que nous refusons de mesurer : nous ne faisons aucun scan de ports ni aucune sonde intrusive.
Romain Ben