Sécuriser son site web : la checklist concrète en 9 points

Sécuriser son site web ne demande pas un budget de banque. Sur les sites piratés que l'on nous confie à Douala, Yaoundé ou ailleurs, la cause est presque toujours banale : une extension jamais mise à jour, un mot de passe réutilisé, aucune sauvegarde récente. Ce sont des portes ouvertes, pas des attaques de génie.

Voici la checklist que nous appliquons sur les sites de nos clients. Neuf points, dans l'ordre où nous les traitons, avec ce qu'il faut faire concrètement. Vous pouvez en appliquer une bonne partie vous-même, même sans être développeur.

Pourquoi sécuriser son site web est devenu urgent

Les chiffres de l'écosystème WordPress, qui fait tourner une grande partie des sites de PME, donnent le ton. Selon le rapport 2026 de Patchstack, 11 334 nouvelles vulnérabilités ont été découvertes dans cet écosystème en 2025, soit 42 % de plus qu'en 2024. Et 91 % d'entre elles concernaient des extensions.

Le même rapport indique que 46 % des vulnérabilités n'avaient pas de correctif du développeur au moment de leur publication. Pour les failles les plus exploitées, le délai médian avant la première attaque était de cinq heures. Autrement dit, attendre « la fin du mois » pour faire les mises à jour, c'est laisser la porte ouverte pendant des semaines.

Le danger ne vient pas seulement de WordPress. En octobre 2026, deux failles critiques du langage PHP lui-même, surnommées PHP2Shell, ont été corrigées en urgence puis exploitées. Nous les détaillons dans notre article sur les failles de sécurité PHP les plus critiques.

Points 1 et 2 : le socle logiciel

1. Mettre à jour PHP, le CMS, le thème et les extensions

C'est le point qui évite le plus de piratages. Un site est un empilement de couches : la version de PHP de l'hébergeur, le CMS (WordPress, Joomla…), le thème et les extensions. Chaque couche peut avoir une faille, et chaque couche doit être suivie.

• PHP : vérifiez la version dans votre panneau d'hébergement. Une branche qui n'est plus maintenue par le projet PHP ne reçoit plus de correctifs de sécurité.
• Le CMS : activez les mises à jour mineures automatiques de WordPress. Elles contiennent les correctifs de sécurité.
• Le thème et les extensions : contrôlez-les au minimum chaque semaine. Pour un site e-commerce, un contrôle plus fréquent est préférable.

Faites toujours une sauvegarde avant une mise à jour importante. Et si votre site tourne avec un thème « premium » acheté il y a des années et jamais mis à jour, c'est un signal d'alarme : les thèmes et extensions payants contiennent aussi des failles.

2. Supprimer les extensions WordPress abandonnées

Une extension abandonnée est une extension que son développeur ne maintient plus. Elle fonctionne encore, donc personne ne s'en inquiète. Mais si une faille y est découverte, aucun correctif n'arrivera jamais.

Comment les repérer :

• sur la page de l'extension sur WordPress.org, regardez la date de dernière mise à jour et l'avertissement affiché quand elle n'a pas été testée avec les versions récentes de WordPress ;
• une extension retirée du répertoire officiel doit être remplacée sans attendre, car le retrait est souvent lié à un problème de sécurité non corrigé ;
• méfiez-vous des extensions installées « pour essayer » et jamais utilisées.

La règle que nous appliquons : moins d'extensions, c'est moins de risques. Une extension désactivée mais toujours présente sur le serveur peut encore être attaquée. Si vous ne l'utilisez pas, supprimez-la.

Point 3 : mots de passe et double authentification

Les robots essaient en permanence des combinaisons d'identifiants sur les pages de connexion. Un mot de passe court ou réutilisé ailleurs finit par tomber, surtout s'il a fuité lors du piratage d'un autre service.

Ce qu'il faut mettre en place :

• un mot de passe long et unique pour chaque accès : administration du site, hébergement, FTP, base de données, nom de domaine et messagerie ;
• un gestionnaire de mots de passe, pour ne plus les noter dans un carnet ou un groupe WhatsApp ;
• la double authentification, c'est-à-dire un code temporaire en plus du mot de passe, sur l'administration du site et surtout sur le compte de l'hébergeur et du registraire du domaine ;
• un compte nominatif par personne, avec le rôle minimum nécessaire. Le stagiaire qui publie des articles n'a pas besoin d'être administrateur.

L'agence américaine CISA rappelle que l'authentification multifacteur rend beaucoup plus difficile la prise de contrôle d'un compte, même quand le mot de passe a été volé. Pensez aussi à retirer les accès des anciens prestataires et employés.

Point 4 : des sauvegardes vraiment utilisables

Une sauvegarde ne vaut que si vous pouvez la restaurer. Nous avons vu des entreprises découvrir, le jour du piratage, que leur seule sauvegarde était stockée sur le même serveur que le site, et qu'elle avait été chiffrée avec lui.

Une bonne stratégie de sauvegarde respecte quatre règles :

1. Automatique : quotidienne pour un site e-commerce ou de réservation, hebdomadaire au minimum pour un site vitrine.
2. Complète : les fichiers et la base de données. Sans la base, vous perdez les pages, les commandes et les comptes clients.
3. Hors du serveur : une copie stockée ailleurs que chez l'hébergeur, par exemple dans un espace de stockage en ligne distinct.
4. Testée : restaurez une sauvegarde sur une copie de test au moins une fois par trimestre.

Conservez plusieurs versions. Un piratage discret peut rester invisible pendant des semaines, et une sauvegarde de la veille peut déjà contenir la porte dérobée.

Points 5 et 6 : chiffrer et durcir les échanges

5. HTTPS partout, sans exception

Le HTTPS chiffre les échanges entre le visiteur et votre site. Sans lui, un mot de passe ou un numéro de téléphone saisi dans un formulaire peut être intercepté, par exemple sur un Wi-Fi public.

Les navigateurs deviennent de plus en plus stricts. Google a annoncé que Chrome 154, prévu pour octobre 2026, activerait par défaut l'option « Toujours utiliser des connexions sécurisées » pour les sites publics. Chrome tentera alors d'abord une connexion HTTPS et affichera un avertissement avant de charger un site qui n'en propose pas.

Concrètement :

• installez un certificat SSL ; Let's Encrypt en fournit gratuitement et la plupart des hébergeurs l'activent en un clic ;
• redirigez automatiquement toutes les adresses en http vers https ;
• vérifiez qu'aucune image ou aucun script n'est encore chargé en http, ce qui provoque des alertes de « contenu mixte » ;
• surveillez la date d'expiration du certificat si le renouvellement n'est pas automatique.

6. Les en-têtes de sécurité

Les en-têtes de sécurité sont des consignes que votre serveur envoie au navigateur. Ils sont invisibles pour le visiteur, mais ils bloquent des familles entières d'attaques. Le projet OWASP Secure Headers en tient la liste de référence.

En-tête	À quoi il sert
Strict-Transport-Security	Oblige le navigateur à utiliser HTTPS pour votre domaine.
Content-Security-Policy	Limite les sources autorisées pour les scripts, images et styles. Réduit fortement l'impact des injections de code.
X-Content-Type-Options	Empêche le navigateur de deviner le type d'un fichier, ce qui évite certaines attaques.
X-Frame-Options ou frame-ancestors	Empêche d'afficher votre site dans un cadre sur un autre site, une technique utilisée pour piéger les clics.
Referrer-Policy	Contrôle les informations transmises aux sites vers lesquels vous faites des liens.

Ces en-têtes se configurent dans le fichier .htaccess sur un hébergement Apache, ou dans la configuration du serveur. La politique de sécurité du contenu (CSP) demande des tests : mal réglée, elle peut bloquer un outil de paiement ou de statistiques. Commencez en mode « rapport seul », comme le décrit la documentation MDN, puis durcissez.

Points 7 et 8 : filtrer ce qui entre

7. Un pare-feu applicatif (WAF)

Un pare-feu applicatif filtre les requêtes avant qu'elles n'atteignent votre site. Il bloque les tentatives d'injection, les robots qui testent des mots de passe en masse et une partie des attaques connues. Il peut être fourni par un service placé devant le site ou par une extension.

Attention toutefois à ne pas tout miser dessus. Dans les tests de Patchstack, les protections des hébergeurs n'ont bloqué que 12 % des attaques visant des failles WordPress activement exploitées, et 26 % sur un panel d'attaques plus large. Un pare-feu réduit le risque, il ne remplace pas les mises à jour.

Nos réglages de base : limiter les tentatives de connexion, masquer ou protéger la page de connexion, bloquer l'accès direct aux fichiers sensibles comme wp-config.php, et désactiver l'interface XML-RPC de WordPress si vous ne l'utilisez pas.

8. Des formulaires qui ne deviennent pas des portes d'entrée

Formulaire de contact, de devis, d'inscription, d'envoi de CV : chaque champ est un point d'entrée pour un attaquant. Les formulaires sont aussi la cible favorite des robots de spam, qui peuvent faire blacklister votre adresse email.

• Validez côté serveur : la vérification dans le navigateur aide le visiteur, mais un attaquant la contourne facilement.
• Protégez contre les robots : un champ piège invisible, une vérification anti-robot ou une limitation du nombre d'envois.
• Encadrez les envois de fichiers : n'acceptez que les formats utiles (PDF, JPG), limitez la taille et stockez les fichiers hors du dossier public.
• Collectez le minimum : moins vous stockez de données personnelles, moins une fuite fait de dégâts.

Pour un site qui encaisse des paiements Mobile Money ou par carte, passez par la page de paiement de l'opérateur ou du prestataire plutôt que de faire saisir des informations sensibles sur votre propre site.

Point 9 : superviser pour réagir vite

Un piratage découvert en une heure coûte bien moins cher qu'un piratage découvert après trois semaines, quand Google affiche déjà un avertissement à vos visiteurs. La supervision, c'est simplement être prévenu à temps.

• Surveillance de disponibilité : un service gratuit peut vous envoyer une alerte dès que le site ne répond plus.
• Google Search Console : elle vous signale les problèmes de sécurité détectés par Google, comme un piratage ou un logiciel malveillant.
• Alertes de connexion : soyez notifié lors d'une connexion administrateur ou de la création d'un nouveau compte.
• Contrôle des fichiers : un scanner qui détecte les fichiers modifiés ou ajoutés dans le dossier du site.

Désignez aussi une personne responsable. Nous voyons souvent des alertes arriver sur une adresse email que plus personne ne consulte.

La checklist pour sécuriser son site web, en résumé

Imprimez-la ou copiez-la dans votre outil de suivi. Si vous ne pouvez pas cocher une ligne, c'est votre priorité de la semaine.

• PHP sur une branche maintenue, CMS, thème et extensions à jour.
• Aucune extension abandonnée, inutilisée ou désactivée qui traîne.
• Mots de passe uniques, gestionnaire de mots de passe, double authentification sur le site, l'hébergeur et le domaine.
• Sauvegardes automatiques, complètes, stockées hors du serveur et testées.
• HTTPS sur toutes les pages, avec redirection et certificat renouvelé.
• En-têtes de sécurité configurés et testés.
• Pare-feu applicatif et limitation des tentatives de connexion.
• Formulaires validés côté serveur et protégés contre les robots.
• Supervision active et une personne qui lit les alertes.

Vous préférez faire le point avec un regard extérieur avant de tout reprendre ? Réservez un audit offert : nous passons votre site au crible de cette checklist et vous remettons la liste des corrections à faire, par ordre de priorité. Si votre site doit être refait sur des bases saines, notre simulateur de devis vous donne une estimation en quelques minutes.