La récente cyberattaque visant la Direction générale des Finances publiques le rappelle brutalement : aucune organisation n’est totalement à l’abri d’une intrusion informatique. En août 2026, la DGFiP a confirmé des accès illégitimes à son système d’information, intervenus au cours des mois de juin et juillet, notamment via l’usurpation d’identifiants.
Votre site d’entreprise n’héberge probablement pas les systèmes de l’administration fiscale. Mais penser qu’un pirate ne s’intéressera pas à votre PME, votre commerce ou votre site WordPress parce que vous êtes « trop petit » est une erreur : les attaques sont aujourd’hui largement automatisées. Un site mal mis à jour, une extension vulnérable, un mot de passe compromis ou une sauvegarde inexistante peuvent suffire à transformer une simple faille technique en véritable problème pour l’entreprise.
Site inaccessible, pages modifiées, redirection vers des sites frauduleux, vol de données, perte de commandes, atteinte à l’image de marque : la sécurité d’un site internet n’est plus un sujet réservé aux grandes entreprises. Voici les 5 mesures que nous considérons comme prioritaires pour protéger un site professionnel.
C’est la base, et pourtant l’un des points les plus négligés. Un site internet n’est pas un objet figé que l’on met en ligne avant de l’oublier pendant cinq ans. WordPress, WooCommerce, les thèmes et les extensions évoluent régulièrement, et beaucoup de mises à jour corrigent des failles de sécurité.
Le CERT-FR publie régulièrement des alertes concernant des vulnérabilités découvertes dans des logiciels largement utilisés — en juillet 2026, il signalait notamment plusieurs vulnérabilités concernant WordPress. Laisser fonctionner pendant plusieurs mois une ancienne version d’un CMS ou d’une extension revient parfois à conserver volontairement une porte dont on sait que la serrure est défectueuse.
À faire : maintenez à jour :
le CMS, notamment WordPress ;
les extensions ;
le thème ;
la version de PHP ;
les composants du serveur ;
les modules liés au paiement pour un site e-commerce.
Attention cependant : mettre à jour ne veut pas dire cliquer aveuglément sur « Tout mettre à jour ». Sur un site professionnel, les mises à jour doivent idéalement être accompagnées de sauvegardes et de contrôles, afin d’éviter qu’une incompatibilité ne rende le site inutilisable.
Imaginez que demain matin votre site affiche une page blanche, ou pire, qu’un pirate ait modifié plusieurs centaines de fichiers. Combien de temps vous faudrait-il pour remettre le site en ligne ? Une sauvegarde récente permet de transformer une catastrophe potentielle en incident gérable.
Mais toutes les sauvegardes ne se valent pas. Une bonne stratégie doit être automatique, régulière et externalisée : évitez de conserver votre unique sauvegarde sur le même serveur que votre site. Si le serveur rencontre un problème majeur, vous pourriez perdre le site et sa sauvegarde en même temps.
Pour un site e-commerce, la fréquence doit également tenir compte des commandes et des données clients : restaurer une sauvegarde datant d’une semaine peut signifier perdre une semaine de commandes. Cybermalveillance.gouv.fr place d’ailleurs les sauvegardes parmi les mesures essentielles permettant de réduire fortement les conséquences d’une cyberattaque.
À vérifier avec votre prestataire : « Si mon site est piraté aujourd’hui, de quelle sauvegarde disposons-nous et combien de temps faudrait-il pour le remettre en ligne ? » La réponse est généralement assez révélatrice.
L’actualité de la DGFiP est intéressante sur ce point : une intrusion informatique ne nécessite pas forcément de « casser » techniquement un serveur, récupérer un identifiant valide peut suffire. Sur un site d’entreprise, plusieurs personnes disposent parfois d’un accès administrateur — le dirigeant, l’agence web, un ancien salarié, un freelance, le service communication, un développeur — et certains comptes restent actifs plusieurs années après le départ de leur utilisateur.
Nos recommandations :
un mot de passe différent pour chaque service ;
un mot de passe long et complexe ;
un gestionnaire de mots de passe ;
la double authentification (2FA) pour les comptes sensibles ;
un compte nominatif par utilisateur ;
uniquement les droits réellement nécessaires.
Et supprimez les anciens comptes. Une personne chargée de publier un article de blog n’a, par exemple, aucune raison de disposer des mêmes permissions que l’administrateur technique du site. Cybermalveillance.gouv.fr recommande également de ne jamais réutiliser un même mot de passe entre plusieurs services : si celui-ci est compromis sur une plateforme, les attaquants peuvent tenter de l’utiliser automatiquement ailleurs.
La sécurité ne s’arrête pas à WordPress. L’environnement dans lequel fonctionne votre site joue également un rôle essentiel : HTTPS, certificat SSL, pare-feu, limitation des tentatives de connexion, protection contre certains robots malveillants, filtrage des requêtes suspectes, sécurisation du serveur.
Cybermalveillance.gouv.fr recommande une approche dite de défense en profondeur : plutôt que de s’appuyer sur une protection unique, plusieurs niveaux de sécurité viennent se compléter. Selon l’importance du site, cela peut notamment inclure :
un hébergement correctement administré ;
un certificat SSL ;
un pare-feu applicatif ou WAF ;
une protection contre certaines attaques automatisées ;
une limitation des connexions frauduleuses ;
une surveillance des fichiers ;
une protection contre les attaques DDoS ;
une configuration correcte du serveur.
Pour un site e-commerce, le niveau d’exigence doit logiquement être encore supérieur puisque le site constitue directement un outil de vente.
C’est probablement le point le moins visible. Un site peut être compromis sans devenir immédiatement inaccessible : un pirate peut chercher à installer un fichier malveillant, créer un compte administrateur, injecter des liens, modifier discrètement certaines pages ou utiliser le site pour rediriger les internautes. Vous pouvez donc continuer à consulter votre page d’accueil normalement alors qu’un problème existe déjà.
Cybermalveillance.gouv.fr recommande de contrôler régulièrement le niveau de sécurité d’un site, notamment par des vérifications et audits adaptés. Une maintenance sérieuse doit notamment permettre de surveiller :
les mises à jour ;
les sauvegardes ;
l’état du serveur ;
la disponibilité du site ;
les erreurs importantes ;
les comptes utilisateurs ;
les éventuels comportements suspects.
Un site internet professionnel devrait être considéré comme n’importe quel autre outil essentiel de l’entreprise. Vous entretenez votre véhicule professionnel, vous mettez à jour vos logiciels : votre site mérite la même attention.
« Je n’ai pas de paiement en ligne, donc je ne risque rien. » Pas vraiment : votre site représente votre entreprise auprès de vos prospects. Un piratage peut entraîner :
une indisponibilité du site ;
l’apparition de contenus frauduleux ;
des redirections vers d’autres sites ;
une détérioration de votre référencement naturel ;
une perte de formulaires de contact ;
une atteinte importante à votre crédibilité.
Imaginez un prospect recherchant votre entreprise sur Google et découvrant à la place une page frauduleuse : l’impact commercial peut être immédiat. Pour un site e-commerce, l’enjeu est encore supérieur — le site participe directement au chiffre d’affaires et traite généralement davantage de données (comptes clients, commandes, coordonnées, historique d’achat). Plus votre activité dépend de votre site, plus sa sécurisation et sa maintenance doivent être considérées comme stratégiques.
Oui… et non. Un bon hébergeur sécurise son infrastructure, mais il ne peut pas nécessairement empêcher :
l’installation d’une extension WordPress vulnérable ;
l’utilisation d’un mauvais mot de passe ;
la conservation d’un ancien compte administrateur ;
une mauvaise configuration ;
l’absence de maintenance du CMS ;
une erreur humaine.
La sécurité d’un site repose donc sur plusieurs acteurs : hébergeur, CMS, extensions, administrateurs et prestataire chargé du suivi du site.
Première règle : ne pas paniquer et ne pas supprimer des fichiers au hasard. Il faut commencer par identifier l’origine de la compromission. Selon la situation :
mettre temporairement le site en sécurité ;
identifier la faille ou l’accès compromis ;
modifier les identifiants concernés ;
analyser les fichiers ;
supprimer les éléments malveillants ;
mettre à jour le site ;
restaurer une sauvegarde saine si nécessaire ;
vérifier que l’attaquant n’a pas conservé un autre moyen d’accès.
En présence d’une fuite de données personnelles, des obligations supplémentaires peuvent également s’appliquer. Cybermalveillance.gouv.fr rappelle qu’une violation peut notamment exposer les personnes concernées à des risques de fraude, d’usurpation d’identité ou d’autres utilisations malveillantes de leurs données.
Il serait tentant de croire qu’il faut investir des milliers d’euros dans des technologies extrêmement sophistiquées. Ce n’est pas toujours le cas : Cybermalveillance.gouv.fr estime que 80 % des cyberattaques pourraient être évitées grâce à des mesures simples et peu coûteuses, parmi lesquelles la bonne gestion des mots de passe, les sauvegardes, les mises à jour de sécurité et la maîtrise des droits d’accès.
La première question n’est donc pas « Mon site est-il impossible à pirater ? » — aucun professionnel sérieux ne pourra vous le garantir. La bonne question est plutôt : « Avons-nous fait le nécessaire pour réduire le risque et sommes-nous capables de réagir rapidement en cas de problème ? »
Chez Agence LDP, nous voyons encore régulièrement des entreprises possédant un site WordPress créé plusieurs années auparavant et pratiquement plus suivi depuis sa mise en ligne. Le site fonctionne, donc personne ne s’en préoccupe — jusqu’au jour où il ne fonctionne plus.
Un site internet est pourtant devenu un véritable actif numérique de l’entreprise : il génère de la visibilité, des demandes de devis, des prises de contact et parfois directement des ventes. Création, hébergement, maintenance, sauvegardes et sécurité doivent être pensés ensemble. Chez LDP, notre métier ne consiste pas simplement à créer de beaux sites internet : nous concevons et accompagnons des sites professionnels capables de durer, d’évoluer et de rester performants dans le temps.
Vous ne savez pas exactement comment votre site est actuellement sauvegardé, mis à jour ou sécurisé ? C’est probablement le bon moment pour faire le point.
Plusieurs signes peuvent indiquer qu'un site a été compromis : pages inconnues dans Google, redirections inhabituelles, nouveaux comptes administrateurs, ralentissements importants, fichiers modifiés, messages d'alerte du navigateur ou de l'hébergeur. Certaines attaques peuvent cependant rester discrètes. Une analyse technique est alors nécessaire.
WordPress n'est pas intrinsèquement « non sécurisé ». En revanche, sa très large utilisation en fait une cible fréquente. Le risque augmente notamment lorsque WordPress, les thèmes ou les extensions ne sont plus mis à jour, lorsque des extensions abandonnées restent installées ou lorsque les accès administrateurs sont mal protégés.
Les principales mesures sont la mise à jour régulière de WordPress et des extensions, l'utilisation de mots de passe uniques, la double authentification, les sauvegardes externalisées, un hébergement correctement sécurisé, la limitation des droits administrateurs et la surveillance régulière du site.
Il n'existe pas une fréquence universelle. Les mises à jour de sécurité importantes doivent être appliquées rapidement. Pour un site professionnel, il est préférable de mettre en place une maintenance régulière plutôt que d'intervenir seulement une ou deux fois par an.
Oui. Un pirate peut cibler un site vitrine pour exploiter ses ressources, diffuser du spam, injecter des liens, installer des pages frauduleuses, récupérer des données issues des formulaires ou rediriger les visiteurs vers d'autres sites.
Non. Le HTTPS chiffre principalement les échanges entre l'internaute et le serveur. Il est indispensable, mais il ne protège pas à lui seul le site contre une extension vulnérable, un mot de passe compromis ou une mauvaise configuration.
Un site e-commerce nécessite notamment des mises à jour rapides, des sauvegardes fréquentes, un hébergement adapté, une sécurisation renforcée des comptes administrateurs, une surveillance du site et une gestion rigoureuse des extensions et systèmes de paiement.
Le coût dépend du type de site, de son trafic, de son CMS, de son hébergement et du niveau de protection recherché. Pour beaucoup de TPE et PME, une maintenance préventive régulière coûte toutefois beaucoup moins cher qu'une intervention d'urgence après un piratage.
Il faut éviter les modifications improvisées, identifier l'origine de l'intrusion, sécuriser les accès, analyser les fichiers, supprimer les éléments malveillants, mettre à jour les composants vulnérables puis restaurer une sauvegarde saine lorsque cela est nécessaire.
Ce n'est pas systématiquement inclus dans la création du site. Il est donc important de définir clairement qui prend en charge les mises à jour, les sauvegardes, la surveillance, l'hébergement et les interventions en cas d'incident. Un site professionnel ne devrait pas rester plusieurs années sans responsable technique clairement identifié.
Un premier échange de 30 minutes pour comprendre vos enjeux. Gratuit, sans engagement.
Le garage de Yannick tourne depuis quinze ans. Bouche-à-oreille, clientèle fidèle, jamais eu besoin d’un site ni d’une plaquette. Puis un concurrent flambant neuf s’installe à deux cents mètres, avec une enseigne lumineuse et des…
Un site lent fait fuir vos visiteurs et Google. Découvrez les erreurs fréquentes et comment l’agence LDP a réduit son temps de chargement de 70%.
Comment ChatGPT, Gemini et Perplexity choisissent les entreprises à recommander. L’agence LDP vous explique les leviers du GEO pour être visible.