Un site piraté peut coûter des milliers d'euros et détruire votre réputation. Découvrez la checklist complète pour protéger votre site web et les données de vos clients.

1. Installez un certificat SSL (HTTPS)

C'est la base absolue :

• Obligatoire depuis 2018 (Google pénalise HTTP)
• Gratuit avec Let's Encrypt
• Simple : 1 clic chez la plupart des hébergeurs
• Indispensable pour le e-commerce (RGPD)

Comment vérifier : Le cadenas dans la barre d'adresse.

2. Mots de passe forts

80% des piratages viennent de mots de passe faibles :

• Minimum 12 caractères
• Majuscules + minuscules + chiffres + symboles
• Unique par compte : jamais le même mot de passe
• Gestionnaire : utilisez Dashlane, 1Password ou Bitwarden
• Double authentification (2FA) : activez-la partout

3. Sauvegardes régulières

Si votre site plante, la sauvegarde est votre seule issue :

• Fréquence : quotidienne minimum
• Stockage externe : pas sur le même serveur
• Testez la restauration : une sauvegarde non testée n'existe pas
• Versionning : gardez 30 jours d'historique

Outils : UpdraftPlus (WordPress), BackupBuddy, ou solution hébergeur.

4. Mises à jour systématiques

Les failles de sécurité sont corrigées dans les updates :

• CMS : WordPress, Joomla, Drupal (dès la sortie)
• Extensions/Plugins : weekly check
• Thèmes : souvent oubliés, pourtant critiques
• PHP : utilisez PHP 8.1+ (fin de support PHP 7.x)

Astuce : Activez les mises à jour automatiques pour les correctifs de sécurité.

5. Limitez les tentatives de connexion

Les attaques par force brute testent des milliers de mots de passe :

• Bloquez après 5 échecs : plugin Limit Login Attempts
• Changez l'URL de login : pas /wp-admin classique
• CAPTCHA : sur le formulaire de connexion

6. Firewall applicatif (WAF)

Un firewall filtre les attaques avant qu'elles n'atteignent votre site :

• Cloudflare : gratuit et efficace
• Sucuri : spécialisé sécurité WordPress
• Wordfence : plugin WordPress complet

7. Scannez régulièrement

Détectez les failles avant les pirates :

• Google Search Console : alertes de sécurité gratuites
• Qualys SSL Labs : testez votre SSL
• Mozilla Observatory : audit de sécurité complet
• Plugin sécurité : Wordfence, iThemes Security

8. Protégez les formulaires

Les formulaires sont des portes d'entrée :

• CAPTCHA : Google reCAPTCHA v3 (invisible)
• Honeypot : champ caché pour piéger les bots
• Validation : côté serveur ET côté client
• Sanitization : nettoyez les inputs

9. RGPD : protégez les données clients

Obligatoire légalement :

• Politique de confidentialité : page dédiée
• Consentement cookies : bandeau avec accept/refus
• Droit à l'oubli : possibilité de supprimer les données
• Accès aux données : export des données personnelles

10. Surveillez en permanence

La sécurité n'est pas un one-shot :

• Google Analytics : pics de trafic suspects
• Logs serveur : erreurs 404 massives
• Uptime monitoring : UptimeRobot (gratuit)
• Alertes email : en cas de problème