Cloud, QA et sécurité

Sécurité des sites web : prévenir, détecter et rétablir

Gjethe sécurise les sites web et les applications web : nous durcissons les sites WordPress et sur mesure, nettoyons les malwares et restaurons les sites piratés, examinons le code et la configuration à la recherche de vulnérabilités courantes, mettons en place des en-têtes de sécurité, des pare-feu et la connexion à deux facteurs, et assurons la supervision. Nous nous concentrons sur une protection concrète ; les tests d'intrusion formels et les certifications relèvent de cabinets spécialisés et accrédités.

Réserver une consultation gratuiteDemander un devis
  • Première consultation gratuite
  • Devis écrit pour votre projet
  • Paiements échelonnés par étapes, avec souplesse

En un coup d'œil

Prévenir
Durcissement, mises à jour, contrôle d'accès
Détecter
Analyse et supervision
Rétablir
Nettoyage de malware et restauration
Platforms
WordPress, Shopify, applications sur mesure

Definition

Qu'est-ce que la sécurité des sites web?

La sécurité d'un site web consiste à protéger un site, ses utilisateurs et ses données contre les attaques, en maintenant les logiciels à jour, en limitant les accès, en configurant serveurs et applications de façon sécurisée, en surveillant les intrusions et en étant capable de rétablir rapidement la situation.

La plupart des compromissions de sites ne sont pas sophistiquées. Elles viennent de plugins obsolètes, de mots de passe réutilisés, de comptes administrateurs oubliés, de fichiers de configuration exposés et de sauvegardes manquantes. Corriger ces bases supprime l'essentiel du risque pour la plupart des entreprises. Lorsque quelque chose a déjà mal tourné, la rapidité et la méthode comptent : contenir, nettoyer, trouver le point d'entrée, le fermer et rétablir la confiance.

À qui s'adresse-t-elle ?

  • Sites qui ont été piratés

    Pages de spam, redirections, avertissements dans Google ou suspension d'hébergement. Vous avez besoin que ce soit nettoyé et réparé tout de suite.

  • Propriétaires de sites WordPress

    Les plugins et les thèmes demandent une attention régulière ; un passage de durcissement et une supervision préviennent la plupart des attaques.

  • Applications web avec des données utilisateurs

    Les connexions, les données personnelles et les paiements relèvent les enjeux ; un audit de sécurité révèle les faiblesses avant les attaquants.

  • Entreprises soumises à des questionnaires clients

    Vos clients vous demandent comment vous protégez leurs données ; des contrôles documentés vous aident à répondre honnêtement.

Ce qui est inclus, et ce que vous conservez

Ce qui est inclus

  • Évaluation de sécurité du site, de l'hébergement et des accès
  • Revue des vulnérabilités des logiciels et des plugins
  • Durcissement du CMS et de la configuration serveur
  • Nettoyage des comptes administrateurs et connexion à deux facteurs
  • Mise en place d'un pare-feu applicatif web
  • En-têtes de sécurité et configuration HTTPS
  • Analyse et suppression des malwares
  • Recherche du point d'entrée après un piratage
  • Demandes de levée des avertissements de Google et des listes de blocage
  • Mise en place des sauvegardes et tests de restauration
  • Supervision et alertes continues
  • Rapport écrit avec les risques résiduels

Ce que vous recevez

Remis en fin de mission. À vous pour toujours.

  • Rapport de sécurité : constats, corrections, risques résiduels
  • Site durci et nettoyé
  • Inventaire des accès et des comptes
  • Plan de sauvegarde et de reprise
  • Mise en place de la surveillance

Que se passe-t-il lorsque nous nettoyons un site piraté ?

  1. 01

    Contenir

    Réaliser une sauvegarde complète à titre de preuve, activer une page de maintenance si nécessaire et changer tous les identifiants.

  2. 02

    Enquêter

    Repérer les fichiers malveillants, les injections dans la base de données, les utilisateurs frauduleux et la façon dont l'attaquant est entré.

  3. 03

    Nettoyer

    Supprimer les malwares et les portes dérobées, remplacer les fichiers du cœur par des copies saines et tout mettre à jour.

  4. 04

    Fermer la brèche

    Corriger la vulnérabilité qui a permis l'intrusion pour que cela ne se reproduise pas de la même façon.

  5. 05

    Rétablir la confiance

    Demander la levée des avertissements de Google et des listes de blocage et vérifier l'absence de spam dans les résultats de recherche.

  6. 06

    Surveiller

    Surveiller de près toute réinfection dans les semaines suivantes.

Les bases qui préviennent la plupart des attaques

  • Cœur logiciel, plugins et thèmes maintenus à jour
  • Plugins, thèmes et comptes inutilisés supprimés
  • Mots de passe uniques et connexion à deux facteurs pour les administrateurs
  • Rôles au moindre privilège pour le personnel et les prestataires
  • Pare-feu applicatif web devant le site
  • Sauvegardes automatiques hors site avec restaurations testées
  • HTTPS partout et en-têtes sécurisés
  • Permissions de fichiers et fichiers de configuration verrouillés

Audit de sécurité, test d'intrusion ou certification ?

ServiceDe quoi il s'agitQui le réalise
Audit de sécurité (ce que nous faisons)Revue pratique de la configuration, du code et des accès, avec correctionsGjethe
Test d'intrusionSimulation d'attaque formelle et cadrée avec un rapport d'attestationCabinets spécialisés accrédités
Certification (par ex. ISO 27001)Audit du système de management de la sécurité d'une organisationOrganismes de certification accrédités

Pourquoi les petites entreprises se font pirater

La plupart des attaques contre les sites de petites entreprises n'ont rien de personnel. Des bots automatisés scrutent en permanence internet à la recherche de faiblesses connues (un plugin obsolète, une page de connexion par défaut, un fichier de sauvegarde exposé) et exploitent ce qu'ils trouvent pour envoyer du spam, héberger des pages de phishing ou rediriger les visiteurs.

C'est une bonne nouvelle à un égard : les mêmes mesures de base qui bloquent les bots (mises à jour, identifiants forts et uniques, pare-feu et suppression de ce que vous n'utilisez pas) protègent la plupart des sites contre la plupart des attaques. La sécurité n'a pas besoin d'être compliquée pour être efficace ; elle doit être constante.

Comment fonctionne la sécurité des sites web, étape par étape

Chaque étape produit un résultat clair que vous pouvez relire. Le calendrier est convenu dans votre devis.

  1. 1

    Évaluer

    Site, hébergement, versions des logiciels, comptes et sauvegardes passés en revue.

  2. 2

    Prioritise

    Constats classés selon le risque et l'effort de correction.

  3. 3

    Corriger

    Mises à jour, durcissement, nettoyage des accès et changements de configuration.

  4. 4

    Protéger

    Pare-feu, en-têtes, connexion à deux facteurs et sauvegardes mis en place.

  5. 5

    Surveiller

    Analyses, disponibilité et alertes de modification activées.

  6. 6

    Rapport

    Ce qui a été trouvé, ce qui a été corrigé et quels risques subsistent.

Les outils, et ce qui détermine votre devis

Le prix dépend de votre projet et est convenu dans votre devis. Voici ce qui le fait varier.

Sécurité des sites web : facteurs de prix
FacteurPourquoi c'est important
État actuel du siteUn site négligé comportant de nombreux composants obsolètes demande plus de temps pour être durci.
Compromission en coursNettoyer un site piraté implique des investigations et un nettoyage qui vont au-delà du durcissement habituel.
PlatformLes plateformes hébergées comme Shopify limitent ce qui peut être configuré ; les sites auto-hébergés en permettent davantage.
Code sur mesureExaminer des applications sur mesure à la recherche de vulnérabilités demande plus de temps que le durcissement d'un CMS.
Suivi continuLa supervision continue est un service mensuel qui s'ajoute au travail initial.

Erreurs courantes à éviter

Ce qui tourne le plus souvent mal, et comment un bon projet l'évite.

  • Restaurer une sauvegarde sans trouver la cause

    Si le point d'entrée n'est pas fermé, le site est réinfecté, souvent en quelques jours.

  • Identifiants d'administration partagés

    Un mot de passe utilisé par plusieurs personnes ne peut pas être révoqué pour l'une d'elles et masque qui a fait quoi.

  • Plugins installés puis oubliés

    Les plugins inactifs peuvent tout de même être exploités. Supprimez ce que vous n'utilisez pas.

  • Aucune sauvegarde hors ligne

    Les sauvegardes stockées sur le même serveur peuvent être chiffrées ou supprimées en même temps que le site.

Questions fréquentes

Mon site a été piraté, que dois-je faire en premier ?

Changez les mots de passe de votre hébergement, de votre CMS et de votre messagerie, ne supprimez rien pour l'instant et contactez-nous. Nous réalisons une sauvegarde pour l'investigation, contenons les dégâts et commençons le nettoyage.

Pouvez-vous supprimer l'avertissement Google « Ce site peut avoir été piraté » ?

Après le nettoyage du site, nous demandons un réexamen dans Google Search Console. Google décide du moment où l'avertissement est retiré, généralement après avoir vérifié que le site est sain.

Réalisez-vous des tests d'intrusion ?

Nous réalisons des audits de sécurité pratiques et des corrections. Les tests d'intrusion formels avec rapport d'attestation doivent être confiés à des cabinets spécialisés et accrédités ; nous pouvons vous aider à vous y préparer et à corriger leurs constats.

Shopify ou WordPress est-il plus sûr ?

Shopify gère la sécurité des serveurs pour vous, il y a donc moins à configurer. WordPress peut être tout aussi sûr lorsqu'il est bien entretenu, mais il fait peser davantage de responsabilité sur le propriétaire du site.

Comment évitez-vous la réinfection ?

En trouvant et en fermant le point d'entrée d'origine, en mettant tout à jour, en supprimant les composants inutilisés, en imposant des identifiants forts et en surveillant les modifications.

Le travail de sécurité ralentira-t-il mon site ?

En général, c'est l'inverse. Supprimer les plugins inutilisés et ajouter un pare-feu basé sur un CDN rend souvent les sites plus rapides.

Pouvez-vous nous aider à répondre aux questionnaires de sécurité de nos clients ?

Nous pouvons documenter les contrôles techniques en place sur votre site web et votre hébergement, ce qui vous aide à répondre avec exactitude. Les politiques à l'échelle de l'organisation relèvent de votre responsabilité.

Proposez-vous une supervision continue de la sécurité ?

Oui, dans le cadre d'un plan de maintenance : mises à jour, analyses, supervision et réaction.

Les sauvegardes font-elles partie de la sécurité ?

Oui. Des sauvegardes fiables, testées et hors site transforment un désastre en simple désagrément.

Pouvez-vous examiner le code de notre application web ?

Oui. Nous examinons l'authentification, l'autorisation, le traitement des entrées et l'exposition des données au regard des classes de vulnérabilités courantes, et aidons à corriger ce que nous trouvons.

Comment savoir si mon site est compromis ?

Les signes courants sont des pages inconnues dans les résultats Google, des redirections vers d'autres sites sur mobile, de nouveaux utilisateurs administrateurs, des avertissements du navigateur ou de Google, des pics de trafic inhabituels ou un avis de votre hébergeur. Nous pouvons analyser et confirmer.

Un certificat SSL rend-il mon site sécurisé ?

Le SSL chiffre le trafic entre les visiteurs et votre site, ce qui est essentiel, mais ne protège pas contre des plugins vulnérables, des mots de passe faibles ou des malwares. C'est une couche parmi d'autres.

Services associés

Tous les services de cloud, QA et sécurité

Pour aller plus loin

Tous les guides

Sécurité des sites web par secteur

Sécurisez votre site web.

Dites-nous ce dont vous avez besoin. Vous recevez une évaluation honnête, un plan clair et un devis écrit. La première consultation est toujours gratuite.

Réserver une consultation gratuiteDemander un devis
  1. Et ensuite ?
  2. 1Vous nous dites ce dont vous avez besoin
  3. 2Nous nous efforçons de répondre sous 24 heures avec des questions
  4. 3Vous recevez un devis écrit pour votre projet