HTTPS : le cadenas qui protège les données de vos clients

Le HTTPS est la version chiffrée du protocole web : tout ce que le visiteur envoie à votre site (son nom, son numéro de téléphone, son message) devient illisible pour quiconque intercepte la connexion. Les navigateurs modernes affichent un avertissement « non sécurisé » sur les sites qui n’en disposent pas, et cet avertissement suffit à faire fuir un client.

Depuis 2014, Google utilise le HTTPS comme signal dans son classement et recommande officiellement son adoption, pour la sécurité des utilisateurs comme celle du site. Le certificat ne doit pas vous coûter cher : Let’s Encrypt, organisme à but non lucratif, le délivre gratuitement et automatiquement, et la plupart des hébergeurs algériens proposent une activation en un clic depuis le panneau de contrôle.

  • Demandez à votre hébergeur d’activer et de renouveler le certificat automatiquement.
  • Redirigez toutes les anciennes adresses HTTP vers la version HTTPS (redirection 301).
  • Vérifiez que le cadenas s’affiche sans avertissement sur toutes les pages.

Mises à jour et sauvegardes : votre plan de secours

La plupart des piratages réussis exploitent des failles connues dans les systèmes de gestion de contenu et leurs extensions, pas des attaques sophistiquées. Google recommande de tenir la liste des logiciels et extensions installés, avec leurs numéros de version, et d’appliquer chaque correctif de sécurité dès sa publication. Un site resté sans mise à jour pendant des mois est une porte ouverte.

La sauvegarde est le filet qui vous rattrape : une copie hebdomadaire des fichiers et de la base de données, stockée hors du serveur du site, avec un test de restauration régulier. Une règle simple : trois copies, sur deux supports différents, dont une hors du bureau.

  • Mettez à jour le CMS et les extensions dans les jours qui suivent la publication d’un correctif.
  • Supprimez les extensions et thèmes inutilisés.
  • Planifiez une sauvegarde automatique hebdomadaire et testez la restauration tous les deux mois.

Des mots de passe forts et uniques pour chaque compte

L’attaquant ne se contente pas de deviner les mots de passe : il rejoue sur de nombreux sites des listes de mots de passe volés ailleurs. La première règle est donc l’unicité : un mot de passe différent par compte, long et absent du dictionnaire. Pour le stockage, OWASP résume l’exigence en une phrase : jamais de mot de passe en clair, toujours un hachage lent comme Argon2id ou bcrypt, avec un sel unique.

Comme personne ne retient des dizaines de mots de passe longs, utilisez un gestionnaire de mots de passe qui les génère et les stocke, et activez la double authentification sur le compte administrateur et sur la messagerie associée : la messagerie est la clé de récupération de tous les autres comptes.

  • Un mot de passe par compte, d’au moins 12 caractères.
  • Activez la double authentification sur l’administration, la messagerie et l’hébergement.
  • Ne transmettez jamais un mot de passe par e-mail ou par messagerie.

Les en-têtes de sécurité expliqués simplement

Un en-tête de sécurité est une courte instruction que le serveur envoie avec chaque page ; le navigateur la lit et adapte son comportement. Le projet OWASP Secure Headers documente les principaux, qui se règlent une seule fois par le développeur du site :

Le dirigeant n’a pas besoin d’en comprendre les détails techniques : il suffit de demander leur activation au développeur et de les faire vérifier une fois par an. C’est une couche gratuite qui bloque automatiquement certains types d’attaques.

  • HSTS : oblige le navigateur à toujours utiliser la connexion chiffrée avec votre site.
  • X-Frame-Options : empêche d’afficher votre site à l’intérieur d’une autre page pour tromper les visiteurs.
  • X-Content-Type-Options : empêche le navigateur de deviner le type des fichiers d’une façon qui pourrait exécuter du code malveillant.
  • Content-Security-Policy : liste blanche des sources autorisées à se charger dans vos pages.
  • Referrer-Policy : limite ce que vos pages révèlent sur la page précédente du visiteur.

Votre site est piraté : les gestes de la première heure

Le temps est un facteur décisif. L’ordre proposé suit les recommandations de Google pour les sites compromis :

Si votre site collecte des données clients et qu’elles ont été touchées, rappelez-vous que la loi algérienne 18-07 oblige le responsable du traitement à mettre en place des mesures techniques et organisationnelles appropriées pour la confidentialité et la sécurité du traitement (articles 38 et 39) : un incident qui touche les données de vos clients n’est pas qu’un problème technique.

  • Mettez le site hors ligne ou isolez-le : page de maintenance ou panneau d’administration coupé, plutôt que de laisser vos pages servir des contenus frauduleux.
  • Changez tous les mots de passe : administration, hébergement, base de données, messagerie, depuis un appareil sain.
  • Évaluez les dégâts : consultez le rapport Problèmes de sécurité de Google Search Console et cherchez les pages inconnues créées par l’attaquant (tapez site:votre-nom-de-domaine dans Google).
  • Restaurez une sauvegarde saine antérieure au piratage, après l’avoir vérifiée contre les logiciels malveillants.
  • Mettez tout à jour, puis demandez à Google une nouvelle vérification si un avertissement est affiché.

La checklist pratique

Imprimez cette liste et revoyez-la chaque trimestre, ou faites-en un point fixe de vos réunions :

  • HTTPS actif, renouvelé automatiquement, sans avertissement dans le navigateur.
  • CMS et extensions à jour, composants inutilisés supprimés.
  • Sauvegarde automatique hebdomadaire, test de restauration réussi ce mois-ci.
  • Mots de passe uniques sur chaque compte, double authentification active.
  • En-têtes de sécurité activés et vérifiés.
  • Compte Google Search Console actif, alertes de sécurité suivies.
  • Une personne désignée responsable de la sécurité tient à jour un document décrivant ces réglages.