Sécurité
Les attaques les plus fréquentes sur un site vitrine
Un site vitrine subit surtout 6 types d'attaques : les tentatives de connexion automatisées, l'exploitation d'extensions non mises à jour, le spam de formulaires, l'injection de code, le détournement du domaine ou de l'e-mail et la saturation du serveur. Aucune ne demande de s'intéresser à vous en particulier : des robots testent des milliers de sites par jour. Ce guide décrit chaque attaque, ses signes, et la parade qui la neutralise.
L'essentiel
- Six familles d'attaques reviennent sur les sites vitrines : connexion forcée, extension vulnérable, spam, injection de code, détournement de domaine ou d'e-mail, saturation.
- Beaucoup de ces attaques sont automatisées, sans que l'on sache en chiffrer la part : un robot cherche une porte ouverte, sans se soucier de votre activité ni de la taille de votre site.
- Les mises à jour, des mots de passe uniques avec double authentification et des sauvegardes testées couvrent déjà une grande part des risques.
- En cas de piratage, l'ordre des gestes compte : isoler, sauvegarder la preuve, nettoyer, changer les accès, puis seulement rouvrir.
- Si votre formulaire collecte des données personnelles, une intrusion peut aussi relever de vos obligations RGPD.
Les attaques les plus fréquentes sur un site vitrine : le panorama en un tableau
Il n'existe pas de classement officiel chiffré applicable à tous les sites vitrines, et les statistiques que l'on croise en ligne dépendent de celui qui les publie et de la manière dont il mesure. Nous ne vous en donnerons donc pas. Nous retenons six familles d'attaques qui sont régulièrement décrites par les hébergeurs et les éditeurs de sécurité, et qui couvrent les incidents typiques d'un petit site.
| Attaque | Comment elle se produit | Ce que vous pouvez constater | Parade principale |
|---|---|---|---|
| Connexion forcée | Un robot essaie des milliers de mots de passe sur l'écran d'administration | Alertes de connexions échouées, site ralenti, parfois compte administrateur inconnu | Mot de passe unique, double authentification, limitation des tentatives |
| Extension ou thème vulnérable | Le robot repère une version connue pour contenir une faille et l'exploite | Fichiers inconnus, pages étrangères, redirections | Mises à jour, suppression de ce qui est inutile, sources fiables |
| Spam et injection de liens | Formulaires et commentaires envahis ; pages invisibles ajoutées au site | Flot de messages absurdes, résultats Google étranges au nom de votre site | Antispam, validation, surveillance des pages indexées |
| Injection de code | Un champ mal protégé laisse passer une commande ou un script | Contenu modifié, formulaire détourné, avertissement des navigateurs | Code à jour, filtrage des saisies, pare-feu applicatif |
| Détournement de domaine ou d'e-mail | Le compte du registrar ou la zone DNS sont pris, ou votre adresse est usurpée | Site qui n'est plus le vôtre, e-mails envoyés en votre nom | Double authentification, verrou de transfert, SPF, DKIM, DMARC |
| Saturation du serveur | Un flot de requêtes empêche d'afficher le site | Site lent ou inaccessible, sans modification visible | Hébergement dimensionné, protection réseau, mise en cache |
Chaque ligne fait l'objet d'une section ci-dessous. Si vous cherchez ce qu'il faut faire dans l'urgence, passez directement à la section sur les premières heures après un piratage ; si vous cherchez ce qu'il faut mettre en place avant, lisez la section sur les protections qui comptent.
Pourquoi un site vitrine est visé alors qu'il ne vend rien
Un artisan, un cabinet ou une association pense souvent : « Je n'ai rien à voler, pourquoi m'attaquer ? » Le raisonnement est logique, mais il suppose que l'attaquant choisit sa cible. Dans une attaque automatisée, il ne la choisit pas : il balaie des adresses en cherchant les mêmes failles, comme un cambrioleur qui testerait toutes les poignées d'une rue. Votre site ne l'intéresse pas pour lui-même, mais pour ce qu'il peut en faire.
Une ressource à emprunter
Un serveur qui répond 24 heures sur 24 peut servir à envoyer du spam, héberger des fichiers douteux ou relayer d'autres attaques.
Une réputation à exploiter
Un site ancien, bien installé, peut servir à glisser des liens vers d'autres sites afin de leur faire profiter de sa crédibilité.
Des visiteurs à piéger
Rediriger vos visiteurs vers un faux site ou leur afficher un message d'alerte frauduleux permet de les arnaquer sans toucher à leur ordinateur.
Le préjudice, lui, vous concerne directement : image abîmée, visiteurs en fuite, temps perdu à reconstruire, parfois un référencement qui chute et une page d'alerte que certains navigateurs peuvent afficher à vos visiteurs. Un site vitrine est souvent la première vitrine d'une activité, et une vitrine brisée se remarque.
Les tentatives de connexion automatisées : la porte que l'on teste en premier
C'est l'attaque la plus simple à comprendre. Un robot s'adresse à l'écran d'administration de votre site, par exemple l'adresse de connexion standard d'un site WordPress, et essaie des identifiants à la chaîne. Il peut en essayer des milliers sans fatigue. Il utilise soit des mots de passe courants, soit des identifiants volés ailleurs : si vous avez le même mot de passe sur votre messagerie et sur votre site, et que l'un des deux fuit, l'autre est exposé.
Les signes sont discrets : un grand nombre d'échecs de connexion dans les journaux, des e-mails d'alerte de votre site, un ralentissement. Le vrai danger apparaît quand un essai réussit : l'attaquant se retrouve administrateur et peut tout faire, dont créer un second compte pour revenir plus tard. Une compromission de ce type se détecte souvent tardivement, c'est pourquoi il faut limiter le risque en amont.
- Un mot de passe unique et long pour chaque accès (site, hébergeur, messagerie), généré et conservé dans un gestionnaire de mots de passe.
- La double authentification sur le compte administrateur : même un mot de passe volé ne suffit plus.
- Un identifiant d'administration qui n'est pas « admin » ni le nom du site, que les robots essaient en premier.
- Une limitation des tentatives : après quelques essais ratés, l'adresse source est temporairement bloquée.
- Des comptes à droits limités : la personne qui publie des articles n'a pas besoin des droits pour installer des extensions.
Les extensions et thèmes non mis à jour : la faille que tout le monde connaît
Quand une faille est découverte dans une extension ou un thème, son éditeur publie un correctif et décrit en général le problème. Les attaquants lisent aussi ces annonces, et des robots parcourent le web pour trouver les sites qui n'ont pas encore appliqué le correctif. L'écart entre la publication et la mise à jour de votre site est la fenêtre dans laquelle vous êtes exposé. Plus votre site accumule les extensions, plus cette fenêtre a de chances de s'ouvrir quelque part.
Les extensions piratées « gratuites »
Des copies pirates d'extensions payantes circulent sur des sites de téléchargement. Elles peuvent contenir un code malveillant dès l'installation, et elles ne recevront jamais de correctif de l'éditeur. Une extension se télécharge uniquement chez son éditeur ou dans le répertoire officiel de la plateforme.
La parade n'a rien de spectaculaire : mettre à jour régulièrement, supprimer ce qui ne sert plus (une extension désactivée mais présente reste une surface d'attaque), éviter les outils abandonnés par leur éditeur, et tester les mises à jour sur une copie avant de les appliquer lorsque le site est important. Si vous ne souhaitez pas gérer cela vous-même, c'est le cœur d'un contrat de maintenance. Le simulateur de coût de maintenance WordPress permet de se faire une idée de l'enveloppe correspondante.
Spam de formulaires et liens injectés : l'attaque qui salit votre site
Il existe deux formes de spam, qui n'ont pas les mêmes conséquences. La première est visible : votre formulaire de contact ou vos commentaires se remplissent de messages publicitaires ou incompréhensibles envoyés par des robots. C'est pénible, cela noie les vraies demandes, mais cela ne signifie pas que le site est compromis. On la traite avec un antispam (champ piège invisible, test de type « je ne suis pas un robot », limitation du débit d'envoi) et en validant les commentaires avant publication.
La seconde est invisible pour vous et plus grave. Après une intrusion, l'attaquant ajoute à votre site des pages ou des liens cachés, souvent vers des sites de vente de produits douteux ou de jeux d'argent, que seuls les moteurs de recherche voient. Ces contenus peuvent apparaître dans les résultats de recherche au nom de votre site et nuire à votre réputation. Une vérification simple consiste à rechercher dans un moteur de recherche « site:votresite.fr » suivi de mots étrangers à votre activité : si des pages inconnues apparaissent, il faut agir.
Spam de formulaire et sécurité : ne pas confondre
Un formulaire inondé de spam est une nuisance ; un site qui envoie lui-même du spam ou qui affiche des pages que vous n'avez pas écrites est un site compromis. Dans le second cas, ne vous contentez pas d'ajouter un antispam : il faut chercher la porte d'entrée et nettoyer le site.
Injection de code et défacement : quand le contenu de votre site est modifié
Un site vitrine reçoit des données de l'extérieur : le texte d'un formulaire, une recherche, un paramètre d'adresse. Si le code qui les traite ne vérifie pas ce qu'il reçoit, l'attaquant peut y glisser des instructions. On parle d'injection SQL quand elles visent la base de données qui stocke vos contenus, et de faille XSS (cross-site scripting) quand elles font exécuter un script dans le navigateur d'un visiteur. Les deux visent à lire, modifier ou détourner ce que le site traite.
La forme la plus visible est le défacement : la page d'accueil est remplacée par un message revendiquant l'attaque. Plus discrète, la modification d'un formulaire peut rediriger vos messages vers une autre adresse, ou un script malveillant peut s'afficher pour certains visiteurs seulement, ce qui rend la détection difficile pour vous. Un site tournant sur un moteur à jour, avec des extensions éprouvées, un pare-feu applicatif et un code qui filtre systématiquement les saisies limite fortement le terrain de ces attaques. Sur un site développé sur mesure, la qualité du code et sa relecture jouent le même rôle.
Détournement de domaine et usurpation d'e-mail : l'attaque qui ne touche pas le site lui-même
Votre site repose sur deux éléments extérieurs à lui : votre nom de domaine (géré chez un registrar, le bureau d'enregistrement) et sa zone DNS, qui indique où se trouve le site et où arrivent les e-mails. Si un attaquant prend la main sur le compte du registrar, il peut rediriger le domaine vers un autre serveur, sans toucher à une ligne de votre site. Il peut aussi récupérer vos e-mails ou en envoyer en votre nom.
Même sans prendre la main sur quoi que ce soit, un escroc peut se faire passer pour votre adresse. Trois mécanismes limitent ce risque et se règlent dans la zone DNS : le SPF liste les serveurs autorisés à envoyer des messages pour votre domaine, le DKIM signe les messages pour prouver qu'ils n'ont pas été modifiés, et le DMARC indique aux messageries destinataires quoi faire des messages qui échouent à ces vérifications. Ils n'empêchent pas toute usurpation, mais ils compliquent la tâche des fraudeurs et protègent la réputation de votre adresse.
- Activez la double authentification sur le compte du registrar et de l'hébergeur, et utilisez une adresse de contact que vous contrôlez toujours.
- Vérifiez que vous êtes bien le titulaire du domaine, et pas votre prestataire : un nom de domaine acheté par un tiers à son nom est une source de litiges.
- Demandez au registrar d'activer le verrouillage de transfert, s'il le propose.
- Notez la date d'expiration du domaine : un domaine qui expire peut être racheté par un tiers.
La saturation du serveur : quand le site devient inaccessible
Dans une attaque par déni de service distribué, souvent appelée DDoS, des milliers de machines envoient en même temps des requêtes à votre site jusqu'à le saturer. Il ne s'agit pas d'une intrusion : rien n'est volé ni modifié, le site est simplement trop occupé pour répondre aux vrais visiteurs. Sur un petit site vitrine, une attaque de ce type est moins probable que les autres familles, mais elle peut survenir, par exemple à l'occasion d'un conflit ou par simple opportunisme.
Une même lenteur peut aussi avoir une cause banale : un trafic légitime plus fort que prévu après un passage dans les médias, un hébergement trop juste, ou un robot d'indexation trop actif. Avant de crier à l'attaque, regardez les journaux d'accès de votre hébergeur. La protection passe par un hébergement dimensionné, un système de cache qui allège le travail du serveur, et parfois un service placé devant le site qui filtre les flux anormaux. C'est un point à demander à l'hébergeur plutôt qu'à bricoler soi-même.
Trois sites vitrines imaginaires, trois attaques différentes
Ces trois histoires sont illustratives : ce sont des cas construits pour montrer des déroulés crédibles, pas des clients réels.
Le cabinet dont le formulaire déborde
Un cabinet imaginaire reçoit chaque jour des dizaines de messages commerciaux sur son formulaire. Les vraies demandes de rendez-vous se perdent. Après vérification, aucune intrusion : seulement des robots. Un champ piège invisible et une limitation du nombre d'envois par heure suffisent à rétablir la situation. Le cabinet en profite pour vérifier que les messages arrivent bien dans une boîte surveillée.
L'artisan dont le site renvoie vers une boutique inconnue
Un artisan imaginaire reçoit l'appel d'un client : en cliquant sur son site depuis un téléphone, il est arrivé sur une page étrangère. Sur son ordinateur, le site paraît normal : le code malveillant ne se déclenche que sur mobile. L'enquête montre une extension abandonnée par son éditeur, restée installée depuis des années. La solution passe par un nettoyage, le remplacement de l'extension et le changement de tous les accès. Ce scénario illustre pourquoi un contrôle visuel ne suffit pas à prouver qu'un site est sain.
L'association dont le domaine expire
Une association imaginaire a confié son domaine à un bénévole qui a quitté la structure. L'abonnement arrive à échéance, le renouvellement est envoyé à une adresse e-mail qui n'existe plus, et le site tombe un lundi matin. Aucune attaque, mais la même conséquence : un tiers aurait pu racheter l'adresse. Ce cas rappelle que la sécurité d'un site tient aussi à l'organisation, à savoir qui détient quel accès et qui reçoit quelles alertes.
Site vitrine piraté : repérer les signes, puis réagir
On ne se rend pas toujours compte qu'un site est compromis, car les attaquants ont intérêt à rester discrets. Voici les indices qui doivent déclencher une vérification, du plus visible au plus discret.
- Une page d'accueil modifiée, ou des pages que vous n'avez pas créées.
- Des visiteurs qui signalent une redirection ou un message d'alerte, surtout sur téléphone.
- Un avertissement affiché par un navigateur ou par un moteur de recherche à l'ouverture de votre site.
- Des résultats de recherche au nom de votre site qui parlent d'autre chose que de votre activité.
- Un compte administrateur que personne ne reconnaît.
- Votre hébergeur vous signale un envoi massif d'e-mails ou une consommation anormale de ressources.
- Des fichiers récents inconnus dans les dossiers du site.
Les premières heures après un piratage, étape par étape
Face à un piratage, la tentation est de tout effacer tout de suite. C'est compréhensible, mais cela peut détruire les traces dont vous avez besoin pour comprendre comment l'attaquant est entré, et donc l'empêcher de revenir. Voici un ordre de gestes raisonnable.
- 1
Limiter les dégâts
Mettez le site en maintenance ou coupez-le temporairement si des visiteurs risquent d'être redirigés ou infectés. Prévenez la personne qui administre le site et votre hébergeur.
- 2
Conserver une copie de l'état actuel
Avant de nettoyer, faites copier les fichiers et la base de données, ainsi que les journaux d'accès. Ils serviront à identifier la porte d'entrée.
- 3
Changer tous les accès
Mots de passe de l'administration, de l'hébergeur, de la base de données, du transfert de fichiers et de la messagerie, depuis un poste que vous savez sain.
- 4
Restaurer ou nettoyer
Le plus sûr est de repartir d'une sauvegarde saine antérieure à l'intrusion, puis d'appliquer immédiatement toutes les mises à jour. Un nettoyage manuel exige de savoir exactement ce qui a été modifié.
- 5
Trouver et fermer la porte d'entrée
Extension vulnérable, mot de passe faible, compte oublié : tant que la cause n'est pas traitée, l'attaque peut recommencer dans les jours qui suivent.
- 6
Prévenir et demander un nouveau contrôle
Si les moteurs de recherche ou les navigateurs ont signalé votre site, un formulaire de réexamen existe généralement dans leurs outils pour webmasters. Informez aussi les personnes concernées si des données personnelles ont pu être exposées.
Données personnelles : une obligation à ne pas oublier
Si votre site collecte des données (formulaire de contact, inscriptions, prise de rendez-vous) et qu'une violation de ces données est constatée, le RGPD prévoit en principe une notification à la CNIL dans un délai de 72 heures lorsque la violation est susceptible de présenter un risque pour les personnes. Chaque situation est particulière : rapprochez-vous de votre délégué à la protection des données ou d'un juriste. Le dispositif national d'assistance Cybermalveillance.gouv.fr peut aussi vous orienter vers un prestataire de proximité.
Protéger un site vitrine : les mesures qui comptent vraiment
Plutôt qu'une longue liste de recommandations, voici les mesures classées par attaque couverte et par responsable, ce qui permet de savoir qui doit faire quoi. Les premières lignes (mises à jour, mots de passe, double authentification) demandent surtout de la rigueur.
| Mesure | Attaques qu'elle limite | Qui s'en occupe |
|---|---|---|
| Mises à jour régulières du moteur, du thème et des extensions | Extensions vulnérables, injection de code | Prestataire de maintenance ou vous-même |
| Mots de passe uniques et double authentification | Connexion forcée, détournement de domaine | Vous et chaque personne qui a un accès |
| Sauvegardes quotidiennes, conservées hors du serveur, et restauration testée | Toutes, pour la remise en état | Hébergeur ou prestataire, avec un test à fréquence fixe |
| Suppression des extensions et comptes inutiles | Extensions vulnérables, connexion forcée | Prestataire de maintenance |
| Antispam et validation des formulaires | Spam, injection de code | Concepteur du site |
| HTTPS actif sur tout le site | Interception des échanges, avertissements des navigateurs | Hébergeur et concepteur |
| SPF, DKIM et DMARC dans la zone DNS | Usurpation d'e-mail | Celui qui gère le domaine |
| Surveillance : alertes de connexions, contrôle des pages indexées | Détection tardive d'une intrusion | Prestataire ou vous-même, à date fixe |
À l'Agence DYNSEO, un site WordPress peut être livré avec ces bases en place, et nous intervenons dans l'heure ouvrée en cas de panne. Cette réactivité n'empêche pas une attaque, mais elle limite le temps pendant lequel un site reste en difficulté. Pour comprendre notre approche d'un site WordPress de A à Z, consultez notre page création de site WordPress. Un site sur modèle démarre à 500 € HT en 10 jours, et les mesures de sécurité de base se discutent dès le premier échange.
Aucune mesure n'écarte tout risque d'incident
On réduit le risque, on ne l'annule pas. C'est pourquoi les sauvegardes restaurables comptent autant que la prévention : le jour où quelque chose passe à travers, la vraie question est de savoir en combien de temps vous pouvez revenir à un site sain.
Les questions à poser à votre hébergeur et à votre prestataire sur la sécurité du site vitrine
Un devis de création de site ou de maintenance ne détaille pas toujours la sécurité. Ces questions, à poser avant de signer, permettent de savoir ce qui est vraiment inclus.
- Les mises à jour sont-elles incluses, à quelle fréquence, et qui les teste avant de les appliquer ?
- Où sont stockées les sauvegardes, pendant combien de temps, et à quelle date la dernière restauration a-t-elle été testée ?
- Qui est titulaire du nom de domaine et du compte d'hébergement ? Ai-je les accès administrateur ?
- Quelles protections sont actives sur le serveur : filtrage des attaques courantes, isolation entre sites, limitation des tentatives de connexion ?
- Que se passe-t-il en cas de piratage : le nettoyage est-il compris, dans quel délai intervenez-vous ?
- Comment seront traités les données du formulaire de contact : où sont-elles stockées, qui y a accès ?
- Si je change de prestataire, quels accès et quels fichiers me seront remis ?
Un prestataire sérieux répond à ces questions sans détour, et sait dire ce qui n'est pas inclus. La sécurité s'organise avec un partenaire qui l'assume, pas avec une promesse générale. Si vous hésitez entre réparer un site ancien et le reconstruire sur une base saine, le simulateur de coût de refonte peut vous aider à comparer les ordres de grandeur.
Un doute sur la sécurité de votre site vitrine ?
Décrivez-nous votre site : moteur utilisé, hébergeur, extensions installées, personnes qui ont un accès. Nous vous dirons où se situent les risques et ce qu'il serait raisonnable de mettre en place.
Questions fréquentes
Mon petit site vitrine est-il vraiment menacé ?
Oui, car de nombreuses attaques sont automatisées : des robots testent les sites sans tenir compte de leur taille ni de leur activité. Un petit site mal entretenu peut être une cible commode s'il garde des extensions anciennes et des mots de passe faibles. Le risque se réduit nettement avec des mises à jour et des accès bien protégés.
Comment savoir si mon site a été piraté ?
Les indices les plus nets sont une page modifiée, des redirections signalées par des visiteurs, un avertissement d'un navigateur ou d'un moteur de recherche, des pages inconnues dans les résultats au nom de votre site, ou un compte administrateur inconnu. Une intrusion discrète peut ne laisser aucun signe visible, d'où l'intérêt d'une surveillance régulière.
Un certificat HTTPS suffit-il à sécuriser mon site ?
Non. Le HTTPS chiffre les échanges entre le visiteur et le site et évite les avertissements des navigateurs, mais il ne protège ni contre une extension vulnérable, ni contre un mot de passe faible, ni contre une injection de code. C'est une protection nécessaire, parmi d'autres, et jamais une protection complète.
Faut-il un antivirus sur un site internet ?
Un site n'a pas d'antivirus au sens d'un poste de travail, mais il existe des outils d'analyse qui recherchent des fichiers suspects et des modifications anormales. Leur apport dépend de leur configuration et de la réaction humaine aux alertes. Ils complètent les mises à jour et les sauvegardes, sans les remplacer.
Mon hébergeur est-il responsable si mon site est piraté ?
Cela dépend de votre contrat et de la cause de l'intrusion. L'hébergeur sécurise généralement l'infrastructure, tandis que le contenu, les extensions et les accès du site relèvent plutôt de vous ou de votre prestataire. Relisez vos conditions de service et, en cas de litige, demandez conseil à un juriste.
Peut-on réparer un site piraté sans le reconstruire ?
Oui, dans certains cas, en restaurant une sauvegarde saine, en mettant tout à jour et en fermant la porte d'entrée. Si aucune sauvegarde fiable n'existe, ou si le site repose sur des composants abandonnés, la reconstruction sur une base saine peut revenir moins cher que les nettoyages successifs. Un diagnostic précis permet de trancher.
Un site statique est-il à l'abri des attaques ?
Il est exposé à moins de risques, car sans base de données ni espace d'administration en ligne, plusieurs familles d'attaques disparaissent. Il reste vulnérable côté hébergement, nom de domaine et comptes d'accès, et il impose de passer par un développeur pour chaque modification de contenu, ce qui ne convient pas à tous les projets.
Pourquoi mon formulaire de contact reçoit-il autant de messages absurdes ?
Ce sont généralement des robots qui remplissent tous les formulaires qu'ils trouvent, pour diffuser de la publicité ou tester des failles. Un champ piège invisible, une limitation du nombre d'envois et un test de type captcha réduisent fortement ce flux. Ce spam ne prouve pas à lui seul que votre site est compromis.
