La sécurité d'un site web est un sujet que beaucoup de PME remettent à plus tard, jusqu'au jour où quelque chose se passe. Un site qui affiche du contenu indésirable, un formulaire de contact qui envoie du spam à la place de vos messages, une boutique dont les données clients ont été compromises, un site entièrement hors ligne : ces situations arrivent, et elles arrivent presque toujours sur des sites qui n'avaient pas les bases en place.
Ce n'est pas une question de taille ou de notoriété. Les attaques automatisées ne font pas de tri : elles scannent en permanence des millions de sites à la recherche de vulnérabilités connues, et elles frappent indifféremment le site d'un cabinet comptable strasbourgeois et celui d'une grande enseigne nationale. La différence, c'est que la grande enseigne a une équipe dédiée. La PME, souvent, n'a personne.
Cet article couvre les fondamentaux de la sécurité web pour une PME : ce qui doit être en place, pourquoi, et ce qui se passe quand ça ne l'est pas.
Le HTTPS : la base non négociable
Le HTTPS (HyperText Transfer Protocol Secure) est la version sécurisée du protocole HTTP. Il chiffre les données échangées entre le navigateur du visiteur et votre serveur, ce qui empêche leur interception en clair. Un site en HTTP transmet toutes ces données sans chiffrement : identifiants, mots de passe, informations de paiement, données de formulaire.
Le certificat SSL (ou TLS, plus précisément) est ce qui permet à un site de fonctionner en HTTPS. Visuellement, c'est le cadenas qui apparaît dans la barre d'adresse du navigateur à côté de l'URL.
En 2026, ne pas avoir de HTTPS est une erreur sur trois plans simultanément.
La sécurité d'abord. Sans chiffrement, les données de vos visiteurs sont exposées. Pour un site avec un formulaire de contact ou une zone de connexion, c'est une faille directe.
Le référencement ensuite. Google pénalise les sites en HTTP dans ses classements depuis 2014. L'écart de positionnement entre un site HTTP et son équivalent HTTPS, toutes choses égales par ailleurs, est documenté et mesurable.
La confiance enfin. Les navigateurs modernes (Chrome, Firefox, Safari) affichent un avertissement "Non sécurisé" sur les sites en HTTP. Une partie non négligeable des visiteurs quitte un site à la vue de cet avertissement avant même d'avoir lu une ligne de contenu.
Comment le vérifier et le corriger. Tapez votre URL dans votre navigateur et regardez la barre d'adresse. Si vous voyez "Non sécurisé" ou une icône d'avertissement, votre site n'est pas en HTTPS. La correction passe par l'installation d'un certificat SSL sur votre hébergement. La plupart des hébergeurs proposent aujourd'hui des certificats gratuits via Let's Encrypt, activables en quelques clics depuis le panneau d'administration. Sur Webflow, le HTTPS est inclus et géré automatiquement.
Les mises à jour : la vulnérabilité la plus courante
C'est la cause numéro un des sites piratés en 2026, et de loin. Les CMS comme WordPress, Joomla, ou Drupal, leurs thèmes et leurs plugins sont des logiciels. Comme tous les logiciels, ils ont des failles de sécurité qui sont découvertes régulièrement. Quand une faille est découverte, les développeurs publient une mise à jour qui la corrige. Entre le moment où la faille est connue et le moment où vous mettez à jour votre site, il existe une fenêtre de vulnérabilité que les scripts d'attaque automatisés exploitent systématiquement.
Un WordPress non mis à jour depuis six mois est une cible. Pas parce que quelqu'un vous en veut personnellement, mais parce que des scripts automatisés scannent des millions de sites en continu à la recherche de versions vulnérables connues. Quand ils en trouvent une, ils l'exploitent.
Les conséquences d'un site piraté via une faille non corrigée :
- Injection de contenu malveillant (spam, liens vers des sites frauduleux, pages de phishing hébergées à votre insu)
- Vol de données utilisateurs (emails, mots de passe, données de paiement)
- Utilisation de votre serveur pour envoyer du spam ou mener des attaques sur d'autres sites
- Mise sur liste noire par Google, ce qui supprime votre site des résultats de recherche et affiche un avertissement aux visiteurs
- Perte totale du site si le contenu est écrasé ou chiffré
Ce qui doit être mis à jour. Sur un WordPress : le cœur WordPress lui-même, l'ensemble des plugins installés (y compris les plugins inactifs), et le thème actif. Sur d'autres CMS : le même principe s'applique. Sur Webflow ou Shopify : les mises à jour de la plateforme sont gérées automatiquement par l'éditeur, ce qui supprime cette source de risque.
La bonne pratique. Vérifier et appliquer les mises à jour disponibles au moins une fois par semaine. Avant toute mise à jour majeure, effectuer une sauvegarde complète du site. Certains hébergeurs et plugins de sécurité permettent d'automatiser les mises à jour mineures.
Les sauvegardes : votre filet de sécurité
Une sauvegarde, c'est une copie de votre site à un instant T. Si quelque chose se passe (piratage, fausse manipulation, panne serveur, mise à jour qui casse le site), une sauvegarde récente vous permet de restaurer le site dans son état précédent sans repartir de zéro.
Sans sauvegarde, une attaque ou une erreur peut signifier la perte totale du site : contenu, base de données, configurations. Reconstruire un site de zéro coûte du temps et de l'argent, et peut prendre des semaines.
Ce qu'une sauvegarde doit couvrir. Une sauvegarde complète inclut deux éléments distincts : les fichiers du site (code, thème, uploads, images) et la base de données (contenu, pages, articles, comptes utilisateurs, paramètres). Une sauvegarde qui n'inclut que les fichiers sans la base de données est incomplète et souvent inutilisable pour une restauration.
La fréquence recommandée selon le type de site :
- Site vitrine avec contenu rarement modifié : sauvegarde hebdomadaire minimum
- Site avec blog actif ou contenu mis à jour régulièrement : sauvegarde quotidienne
- Boutique e-commerce avec des commandes quotidiennes : sauvegarde quotidienne, idéalement plusieurs fois par jour pour la base de données
Où stocker les sauvegardes. La règle de base : ne jamais stocker les sauvegardes uniquement sur le même serveur que le site. Si le serveur est compromis ou tombe en panne, les sauvegardes sont perdues en même temps que le site. Les sauvegardes doivent être stockées sur un emplacement distinct : un service cloud (Google Drive, Dropbox, Amazon S3), un serveur différent, ou un support local.
Les options selon la plateforme :
- WordPress : des plugins comme UpdraftPlus ou BackWPup automatisent les sauvegardes et leur envoi vers un stockage externe
- Webflow : Webflow conserve un historique des versions publiées et permet de restaurer une version précédente depuis l'interface
- Shopify : Shopify ne propose pas de sauvegarde native complète. Des apps tierces comme Rewind comblent cette lacune
- Hébergement mutualisé : la plupart des hébergeurs incluent des sauvegardes automatiques, mais vérifiez la fréquence et la durée de rétention, et ne comptez pas uniquement dessus
Les mots de passe et les accès
Une part significative des piratages de sites web n'exploite pas une faille technique mais un mot de passe faible ou réutilisé. C'est la méthode d'attaque la plus simple et souvent la plus efficace.
Les bonnes pratiques sur les accès :
- Un mot de passe unique et complexe pour chaque accès (hébergement, CMS, FTP, base de données, domaine). Un gestionnaire de mots de passe comme Bitwarden, 1Password ou Dashlane permet de gérer cela sans les mémoriser
- L'authentification à deux facteurs (2FA) sur tous les accès qui le permettent : hébergement, WordPress, Shopify, registrar de domaine. Le 2FA ajoute une couche de vérification (code SMS ou application d'authentification) qui rend une prise de contrôle par mot de passe compromis quasi impossible
- Limiter les accès aux personnes qui en ont réellement besoin. Sur WordPress, ne pas donner le rôle "Administrateur" à un prestataire qui n'a besoin que de modifier du contenu : le rôle "Éditeur" suffit
- Supprimer les comptes des anciens prestataires ou collaborateurs dès qu'ils ne travaillent plus sur le site
- Changer le nom d'utilisateur par défaut "admin" sur WordPress : c'est le premier identifiant que les attaques automatisées essaient
La surveillance et la détection
Avoir les bases en place, c'est bien. Savoir ce qui se passe sur votre site en temps réel, c'est mieux. Quelques outils permettent une surveillance minimale sans infrastructure complexe.
Google Search Console envoie des alertes par email si Google détecte du contenu malveillant ou des problèmes de sécurité sur votre site. C'est souvent la première alerte qu'une PME reçoit après un piratage.
Les plugins de sécurité sur WordPress. Des plugins comme Wordfence ou Sucuri Security analysent en continu les fichiers du site, détectent les modifications suspectes, bloquent les tentatives de connexion répétées (brute force), et alertent en cas d'anomalie. La version gratuite de Wordfence est suffisante pour la plupart des sites de PME.
La surveillance de disponibilité. Des outils comme UptimeRobot (gratuit) vérifient toutes les cinq minutes que votre site est accessible et vous alertent par email ou SMS s'il tombe. Utile pour détecter rapidement une mise hors ligne, qu'elle soit due à une attaque, une panne serveur, ou une erreur de manipulation.
Ce qui change selon la plateforme
La charge de sécurité varie significativement selon le CMS ou la plateforme sur laquelle votre site est construit.
WordPress demande le plus d'attention : mises à jour fréquentes à gérer, plugins tiers à surveiller, base de données exposée, accès multiples à sécuriser. C'est la contrepartie de sa flexibilité. Sans maintenance active, un WordPress se dégrade en termes de sécurité de façon prévisible.
Webflow délègue la quasi-totalité de la sécurité à l'éditeur : mises à jour de la plateforme automatiques, HTTPS inclus, infrastructure gérée. Vous n'avez pas de serveur à administrer ni de plugins à patcher. Le risque résiduel porte sur les accès (compte Webflow à sécuriser avec un bon mot de passe et le 2FA) et les scripts tiers éventuellement intégrés.
Shopify fonctionne sur le même modèle que Webflow pour la plateforme : infrastructure gérée, HTTPS automatique, mises à jour transparentes. La vigilance porte sur les apps tierces installées (chacune a accès à des données de la boutique) et sur la sécurité du compte Shopify lui-même.
Développement sur mesure : la responsabilité de la sécurité est partagée entre le développeur (qualité du code, gestion des dépendances, architecture) et l'hébergeur. C'est le contexte qui demande le plus d'expertise et une veille active sur les vulnérabilités des technologies utilisées.
Ce qu'on retient
Les fondamentaux de la sécurité web pour une PME tiennent en quatre points : HTTPS activé sur toutes les pages, mises à jour appliquées régulièrement sur le CMS et ses extensions, sauvegardes automatiques stockées hors serveur, et accès sécurisés avec des mots de passe solides et le 2FA activé partout où c'est possible.
Ces mesures ne garantissent pas une sécurité absolue, mais elles éliminent les vecteurs d'attaque les plus courants. La grande majorité des piratages de sites de PME exploitent des vulnérabilités connues et des mots de passe faibles, pas des failles sophistiquées. Les corriger est à la portée de toutes les structures, souvent sans coût supplémentaire.
La plateforme choisie pour construire votre site a un impact direct sur la charge de sécurité : Webflow et Shopify délèguent l'essentiel à l'éditeur, WordPress demande une maintenance active. C'est un critère à intégrer dans le choix de la plateforme, pas seulement en phase de construction mais sur la durée de vie du site.
Voir aussi :
