Protéger un site web ne se résume pas à installer un plugin : chaque CMS (WordPress, Shopify, PrestaShop…) expose des failles natives différentes, et le choix d’une approche de sécurité — préventive, réactive ou externalisée — dépend de votre stack technique et de votre budget. Ce guide compare les stratégies possibles et détaille les outils gratuits indispensables pour chaque couche de protection, avec leurs limites réelles face aux attaques par force brute, aux injections SQL, au XSS et aux malwares.
L’essentiel
- La sécurité repose sur 4 piliers : mises à jour, mots de passe forts + 2FA, sauvegardes automatiques, certificat SSL/TLS correctement configuré.
- Aucun outil gratuit ne couvre tout : associez un pare-feu (WAF), un scanner de vulnérabilités et une solution de sauvegarde pour une protection en couches.
- WordPress nécessite des protections spécifiques (Wordfence, UpdraftPlus) que les autres CMS n’ont pas ; Shopify et les plateformes SaaS externalisent la sécurité serveur.
- Les sauvegardes régulières et un plan de récupération d’urgence testé sont votre dernier rempart contre le ransomware et la perte de données.
Comparatif des approches de sécurisation : préventive, réactive, externalisée
Trois stratégies coexistent pour sécuriser un site : la prévention (durcissement en amont), la réaction (détection et nettoyage après compromission) et l’externalisation (WAF et CDN gérés). Le tableau ci-dessous compare leur portée, leur coût réel et leur pertinence selon le type de site.
| Approche | Périmètre couvert | Outils gratuits typiques | Limites |
|---|---|---|---|
| Préventive | Mises à jour, mots de passe, 2FA, durcissement CMS | Wordfence (firewall), Bitwarden, scan SSL Labs | Ne détecte pas une compromission déjà active |
| Réactive | Détection de malwares, nettoyage, blacklist | Sucuri SiteCheck, scans manuels | Intervention manuelle après l’incident |
| Externalisée | WAF, anti-DDoS, CDN, atténuation des bots | Cloudflare (offre gratuite) | Ne protège pas les failles applicatives natives |
La prévention reste le socle : elle bloque la majorité des attaques automatisées (force brute, injections SQL basiques) avant qu’elles n’atteignent votre application. L’externalisation via un WAF comme Cloudflare ajoute une couche réseau efficace contre les DDoS, mais ne remplace jamais un CMS à jour.
Les 4 piliers fondamentaux avant tout outil
Aucun outil gratuit ne compense des fondamentaux négligés. Ces mesures de base réduisent déjà 80 % des risques de compromission courants.
- Mises à jour systématiques du CMS, des plugins et des thèmes : chaque version corrige des failles de sécurité documentées (ex. les injections SQL dans les plugins WordPress obsolètes).
- Mots de passe complexes et uniques pour chaque compte administrateur, associés à une authentification à deux facteurs (2FA) obligatoire.
- Sauvegardes automatiques chiffrées, stockées hors site (cloud ou serveur distant), avec un plan de restauration testé.
- Certificat SSL/TLS valide et correctement configuré : le HTTPS chiffre les échanges, mais un certificat mal déployé (chaîne incomplète, protocoles obsolètes) crée une fausse sécurité.
Outils gratuits par couche de protection : détection, blocage, sauvegarde
Chaque catégorie d’outils répond à une menace spécifique : scanner les vulnérabilités, bloquer les attaques en temps réel, ou garantir la récupération après incident. Voici les options gratuites réellement efficaces, avec leurs limites natives.
Détection de vulnérabilités et scanners de malwares
- Sucuri SiteCheck : scanne votre site à la recherche de malwares, de blacklists et de signes de compromission. Utile en contrôle ponctuel, mais la version gratuite ne fait pas de surveillance continue.
- Qualys SSL Labs : teste la configuration de votre certificat SSL/TLS (protocoles supportés, vulnérabilités Heartbleed, chaîne de certification). Indispensable après l’installation d’un certificat.
- Detectify (version gratuite limitée) : analyse les failles applicatives courantes (XSS, injections SQL, en-têtes de sécurité manquants) et génère des rapports exploitables.
Protection active contre les attaques
- Cloudflare (offre gratuite) : agit comme un pare-feu applicatif (WAF) de base, protège contre les attaques DDoS volumétriques et accélère le site via son CDN. La configuration des règles de firewall est manuelle.
- Wordfence Security (WordPress) : plugin qui bloque les attaques par force brute (limitation de tentatives de connexion), scanne les fichiers à la recherche de malwares et intègre un firewall applicatif. Spécifique à WordPress.
- Fail2Ban : outil serveur (Linux) qui bannit automatiquement les adresses IP après plusieurs échecs de connexion SSH, FTP ou HTTP. Nécessite un accès root et des compétences en administration système.
Gestion des mots de passe et vérification des fuites
- Bitwarden : gestionnaire de mots de passe open-source qui génère et stocke des identifiants robustes, chiffrés de bout en bout. La version gratuite suffit pour un usage individuel.
- Have I Been Pwned : vérifie si vos adresses email ou mots de passe ont été exposés lors de fuites de données connues. À utiliser après chaque alerte de compromission.
Sauvegardes et récupération d’urgence
- UpdraftPlus (WordPress) : planifie des sauvegardes automatiques (quotidiennes ou hebdomadaires) vers Google Drive, Dropbox ou un serveur FTP. La restauration en un clic est incluse dans la version gratuite.
- Duplicati : solution open-source pour sauvegardes chiffrées et incrémentales vers le cloud ou un stockage local. Adaptée aux sites hébergés sur un serveur dédié ou VPS.
La prestation : sécurisation complète de votre site web
Au-delà des outils gratuits, une prestation de sécurisation professionnelle couvre l’audit, le durcissement et le suivi. Voici le périmètre type d’une intervention complète.
| Mission | Description | Importance |
|---|---|---|
| Audit de vulnérabilités | Scan complet des failles applicatives, tests d’intrusion sur les formulaires et zones d’authentification, vérification des en-têtes de sécurité. | Identifie les failles exploitables avant les pirates ; priorise les correctifs. |
| Durcissement CMS | Configuration des permissions fichiers, désactivation des fonctions PHP dangereuses, restriction de l’accès à wp-admin (WordPress), suppression des comptes inutilisés. | Réduit la surface d’attaque native du CMS. |
| Mise en place d’un WAF et d’une protection DDoS | Configuration de Cloudflare (ou équivalent) : règles de firewall, limitation de débit, protection des pages de connexion. | Bloque les attaques automatisées et les pics de trafic malveillant. |
| Plan de sauvegarde et de récupération | Mise en place de sauvegardes automatiques chiffrées, tests de restauration mensuels, procédure documentée en cas d’incident. | Garantit la continuité d’activité face au ransomware ou à une corruption de données. |
| Surveillance continue et alertes | Scans de malwares programmés, surveillance de l’intégrité des fichiers, alertes en cas de modification suspecte. | Détecte une compromission en quelques heures, pas en quelques semaines. |
Signaux qui doivent vous alerter immédiatement
Certains symptômes indiquent une compromission probable. Agissez vite : plus tôt vous réagissez, plus les dégâts sont limités.
- Ralentissements inhabituels du site ou du serveur, sans augmentation de trafic légitime.
- Redirections inattendues vers des domaines tiers, notamment sur mobile.
- Alertes Google (Search Console) signalant du contenu piraté ou des pages indexées que vous n’avez pas créées.
- Fichiers modifiés ou ajoutés sans action de votre part (vérifiez via le scanner de votre plugin ou un accès FTP).
- Comptes administrateurs inconnus créés dans votre CMS.
- Emails de spam envoyés depuis votre domaine (authentification SPF/DKIM manquante ou contournée).
Votre site présente l’un de ces signes ou vous souhaitez un audit préventif ? Contactez-nous pour un diagnostic de sécurité.
Sécurisation spécifique par CMS : WordPress, Shopify et autres
Chaque CMS a ses failles natives et ses contraintes. Une approche générique ne suffit pas.
WordPress : la cible n°1 des attaques automatisées
WordPress représente plus de 40 % des sites web, ce qui en fait la cible privilégiée des bots. Les failles natives les plus exploitées sont les suivantes :
- Attaques par force brute sur wp-login.php : limitez les tentatives de connexion (Wordfence le fait nativement) et activez la 2FA pour tous les comptes.
- Injections SQL via des plugins obsolètes : les plugins non maintenus sont la porte d’entrée principale. Supprimez tout plugin inactif ou non mis à jour depuis plus d’un an.
- XSS (Cross-Site Scripting) dans les thèmes et formulaires : désinfectez systématiquement les entrées utilisateur et utilisez des thèmes réputés.
- Fichiers wp-config.php et .htaccess exposés : vérifiez les permissions (644 pour les fichiers, 755 pour les répertoires) et bloquez l’accès direct via les règles du serveur.
Shopify et plateformes SaaS : sécurité externalisée, mais responsabilité partagée
Shopify héberge et sécurise l’infrastructure (certificat SSL inclus, protection DDoS gérée). Vos responsabilités se limitent à :
- La gestion des accès : mots de passe forts, 2FA obligatoire, et surtout la révocation des accès des anciens collaborateurs (une faille fréquente).
- La sécurisation des applications tierces : chaque app installée a accès à vos données. Auditez régulièrement les permissions accordées et retirez les apps inutilisées.
- La surveillance des emails de phishing visant vos clients via votre domaine (SPF, DKIM, DMARC correctement configurés).
Sauvegardes régulières et plan de récupération d’urgence
Une sauvegarde qui n’a jamais été testée est une sauvegarde inexistante. Un plan de récupération efficace comprend :
- Fréquence adaptée au contenu : quotidienne pour un site e-commerce ou un blog actif, hebdomadaire pour un site vitrine statique.
- Stockage hors site : ne stockez jamais la sauvegarde sur le même serveur que le site. Un ransomware chiffre tout, y compris les sauvegardes locales.
- Chiffrement des sauvegardes : obligatoire si elles contiennent des données personnelles (RGPD).
- Test de restauration mensuel : restaurez une sauvegarde sur un environnement de staging pour vérifier son intégrité.
- Procédure documentée : qui fait quoi, dans quel ordre, et avec quels accès en cas d’incident majeur.
Politique de sécurité et bonnes pratiques d’entreprise
La sécurité technique ne suffit pas si les processus humains sont faibles. Une politique de sécurité minimale comprend :
- Gestion des accès par rôle : chaque collaborateur n’a que les privilèges nécessaires à sa fonction (principe du moindre privilège).
- Procédure de départ des collaborateurs : révocation immédiate des accès CMS, hébergement, email et réseaux sociaux.
- Formation aux risques de phishing : les emails d’hameçonnage ciblent les employés pour voler leurs identifiants. Une session de sensibilisation annuelle est un minimum.
- Politique de mots de passe : gestionnaire commun (Bitwarden), 2FA obligatoire, interdiction de réutiliser un mot de passe professionnel sur des services personnels.
Sécurité des emails et protection contre le spam et l’hameçonnage
La compromission d’un site passe souvent par la boîte mail d’un administrateur. Protégez votre domaine email avec :
- SPF (Sender Policy Framework) : liste les serveurs autorisés à envoyer des emails depuis votre domaine.
- DKIM (DomainKeys Identified Mail) : signe cryptographiquement vos emails pour prouver leur authenticité.
- DMARC (Domain-based Message Authentication, Reporting & Conformance) : définit la politique de traitement des emails non authentifiés (quarantaine ou rejet).
- 2FA sur toutes les boîtes mail, en particulier celles liées aux comptes administrateurs de votre CMS et de votre hébergeur.
FAQ : sécuriser son site web avec des outils gratuits
Les outils gratuits suffisent-ils pour un site WordPress standard ?
Oui, pour un site à trafic modéré : Wordfence (firewall + scan), UpdraftPlus (sauvegardes) et Cloudflare (WAF + CDN) couvrent l’essentiel. Au-delà de 50 000 visites mensuelles ou si vous traitez des données bancaires, passez à des offres premium.
Comment savoir si mon site WordPress a été piraté ?
Ralentissements anormaux, redirections vers des sites tiers, comptes administrateurs inconnus, alertes Google Search Console ou fichiers modifiés récemment. Lancez un scan Wordfence et vérifiez les derniers utilisateurs créés dans wp-admin.
Le HTTPS avec un certificat SSL gratuit (Let’s Encrypt) est-il suffisant ?
Le HTTPS chiffre les données en transit, mais ne protège pas contre les failles applicatives (injections SQL, XSS) ni les attaques par force brute. Il doit être combiné avec un firewall, des mises à jour régulières et des sauvegardes.
Quelle est la différence entre un WAF et un scanner de vulnérabilités ?
Le WAF (pare-feu applicatif) bloque les attaques en temps réel en filtrant le trafic entrant. Le scanner de vulnérabilités identifie les failles existantes dans votre code ou configuration. Les deux sont complémentaires : le scanner trouve les portes ouvertes, le WAF les verrouille.
À propos de l’auteur
Cet article a été rédigé par José PEREZ, expert en sécurité web et en référencement technique. José PEREZ analyse les vulnérabilités natives des CMS les plus répandus (WordPress, Shopify, PrestaShop) et les stratégies de protection efficaces face aux menaces courantes : injections SQL, XSS, attaques par force brute et malwares. Son approche combine audit technique, durcissement des configurations et mise en place de plans de sauvegarde robustes, avec une attention particulière aux outils gratuits réellement efficaces pour les PME et les indépendants.
Pour aller plus loin sur la protection de vos données en ligne, consultez notre guide sur la protection de la vie privée en ligne. Découvrez également comment choisir un logiciel de comptabilité sécurisé pour votre entreprise, ou explorez nos guides d’achat pour équiper votre activité en toute sécurité.
José est une expert en consommation et rédactrice passionnée par le monde des achats intelligents. Forte de plus de 10 ans d’expérience dans le domaine de l’évaluation des produits et des tendances de consommation, José se spécialise dans la création de guides d'achat pratiques et accessibles. Sa mission est d’aider …
Tous les articles de José PEREZ →
