Inutile de lire du code pour protéger un site. Les vrais incidents sont banals : un mot de passe déjà utilisé ailleurs, un compte administrateur sans seconde étape, une clé secrète collée là où tout le monde peut la voir, ou un formulaire qui fait confiance à tout ce qu'il reçoit.
Cette checklist s'adresse aux propriétaires, pas aux ingénieurs. Rien ici ne rend un site inviolable, mais chaque point ferme une porte d'entrée courante. Partagez-la avec la personne qui construit ou maintient votre site, y compris Uttra si vous construisez par la conversation.
La plupart des sites piratés tombent à cause de mots de passe faibles ou réutilisés, de logiciels obsolètes et de clés qui fuient, pas d'attaques de film. Corrigez ces quatre points et vous serez devant la majorité.
Les comptes : le maillon faible
Vos comptes d'hébergement, de registrar, de messagerie et GitHub valent plus qu'une page d'accueil pour un attaquant. Qui les contrôle contrôle votre site.
- Utilisez un gestionnaire de mots de passe et un mot de passe long et unique par compte.
- Activez la double authentification partout où elle existe, surtout sur la messagerie et le registrar du nom de domaine.
- Ne partagez pas un identifiant unique dans l'équipe ; donnez un accès par personne et retirez-le au départ.
- Préparez la récupération : gardez à jour l'e-mail et le numéro de secours.
Clés secrètes : jamais dans la page
Les clés d'API de paiement, d'e-mailing ou d'IA sont des mots de passe pour machines. Placées dans le code côté navigateur, n'importe qui peut les copier avec les outils du navigateur.
Gardez les secrets côté serveur ou dans les réglages de secrets de la plateforme, jamais dans des captures d'écran, des messages envoyés à des tiers ou des dépôts GitHub publics. Si une clé a fuité, ne la cachez pas : révoquez-la chez le fournisseur et créez-en une nouvelle.
Formulaires, connexions et données des utilisateurs
Chaque formulaire est une porte. Demandez à votre prestataire de vérifier que le serveur valide les saisies, limite les tentatives répétées et n'affiche jamais de détails d'erreur bruts aux visiteurs.
- Ne collectez que les données dont vous avez vraiment besoin ; ce que vous ne stockez pas ne peut pas fuiter. C'est aussi un principe du RGPD.
- Ne stockez jamais les mots de passe en clair ; utilisez une méthode de connexion éprouvée.
- Vérifiez que le site fonctionne uniquement en HTTPS.
- Ne manipulez pas vous-même les numéros de carte ; utilisez la page de paiement hébergée d'un prestataire.
Mises à jour et code tiers
Les bibliothèques anciennes ont des failles connues que les attaquants recherchent automatiquement. Supprimez les extensions et scripts inutilisés, mettez le reste à jour à intervalle régulier, par exemple chaque mois, et ne chargez des scripts tiers que depuis des sources fiables.
En cas de fuite de données personnelles, le RGPD prévoit une obligation de notification à la CNIL dans un délai court ; renseignez-vous auprès d'un professionnel sur votre situation.
Demandez un contrôle de sécurité dans le chat
En construisant avec Uttra, vous pouvez demander une revue en langage courant. Une consigne à coller :
« Passe en revue mon site pour la sécurité de base : les formulaires doivent valider les saisies et limiter les envois répétés, aucune clé secrète ne doit apparaître dans le code côté navigateur, tout doit passer en HTTPS, et liste ce que je dois faire moi-même, comme activer la double authentification. »
Considérez la réponse comme une liste à vérifier, pas comme une garantie. Gardez aussi une sauvegarde, car la prévention n'atteint jamais 100 %.