Cybersécurité en entreprise : par où commencer avec votre site web

Une conversation sur la cybersécurité en entreprise commence en général par le pare-feu et les extensions. Les chiffres disent qu’il faut commencer ailleurs.

Au premier semestre 2026, l’Office fédéral de la cybersécurité (OFCS) a reçu 27 128 signalements volontaires. La fraude en représente 39 %, l’hameçonnage 8 877 cas, soit environ un tiers. L’intrusion technique, celle des films, ne figure même pas parmi les catégories de tête. Et lorsque le rapport parle de « piratage » dans les annonces obligatoires des infrastructures critiques, il précise qu’il s’agit d’ordinaire de comptes de messagerie compromis… par hameçonnage. Le même rapport cite la formule qui résume la tendance : log in, not break in. Personne ne forcera votre porte de la manière que vous imaginez. Quelqu’un obtiendra simplement un mot de passe.

C’est pourquoi cette rubrique est construite à partir des accès, pas des outils — et pourquoi elle commence par une liste de comptes, pas par un achat. Vous trouverez ci-dessous six situations, une par texte. Aucune n’est traitée ici de A à Z : c’est le rôle des articles vers lesquels nous renvoyons.

Si vous ne devez faire qu’une chose

Ouvrez la liste des utilisateurs dans l’administration de votre site et, pour chaque compte, répondez à trois questions : qui est-ce, cette personne s’en sert-elle encore, et a-t-elle besoin de ces droits ?

On trouve presque toujours le compte d’un prestataire d’il y a deux agences, un compte « admin » créé à l’installation et trois personnes avec des droits d’administrateur, dont une seule publie. S’y ajoutent trois accès invisibles depuis l’administration, et qui donnent plus qu’un compte administrateur : l’hébergement, la base de données et le compte du nom de domaine.

Un quart d’heure de travail, aucun coût, et c’est la voie par laquelle arrive l’immense majorité des incidents qui se referme. La méthode et la suite : [sécurité d’un site internet](posts:69241af55f2464f7c72d876b).

S’il vous reste cinq minutes après ce quart d’heure, consacrez-les à une seule chose : vérifiez à quelle adresse arrive la réinitialisation du mot de passe de l’administration. C’est parfois la boîte d’un ancien collaborateur ou un alias que personne ne lit — et qui détient cette boîte détient l’administration, sans rien avoir à forcer.

Six entrées dans la rubrique

« Quelqu’un pourrait entrer — que dois-je faire concrètement ? »

Contrôle des accès, comptes de l’administration, extensions vues comme surface d’attaque, et six signes que quelque chose s’est déjà produit — en distinguant ceux que vous remarquerez vous-même de ceux que le client voit en premier. C’est aussi là que se trouve le détail des signalements en Suisse et ce que l’OFCS fait lorsqu’il repère un site piraté.

→ Sécurité d’un site internet

« Le navigateur met en garde contre mon site » ou « dois-je payer un certificat ? »

Ce qu’est un certificat, quand le gratuit suffit, quand il faut un wildcard, et ce qui change à des dates que personne chez vous n’a fixées — dont la durée de validité des certificats qui raccourcit et le HTTPS imposé par les navigateurs.

→ Certificat SSL

« J’ai une douzaine de notifications de mise à jour et j’ai peur de cliquer »

Où se trouvent réellement les vulnérabilités — 91 % dans les extensions, 9 % dans les thèmes, six dans le cœur —, ce qu’il faut activer automatiquement, ce qu’il ne faut pas toucher sans votre prestataire, et que faire quand une mise à jour met le site à terre.

→ Mise à jour WordPress

« J’ai une sauvegarde chez l’hébergeur — est-ce suffisant ? »

Les quatre couches qui composent un site en état de marche, les trois endroits où ranger une copie et ce contre quoi chacun protège. Et la partie qui change la nature du problème : une perte de données personnelles est une violation de la sécurité des données au sens de la loi, avec une obligation d’annonce.

→ Sauvegarde de site web

« Ma politique de confidentialité est-elle en ordre ? »

Ce que la loi fédérale sur la protection des données (LPD) exige au minimum, ce que le RGPD ajoute si vous servez des clients dans l’Union européenne, et ce qui atterrit dans ces textes par copier-coller. À part, les cookies — avec une règle suisse que la plupart des sites lisent de travers, dans un sens ou dans l’autre.

→ Politique de confidentialité

« Avons-nous seulement de quoi travailler — qui peut vérifier ? »

Si aucune des phrases ci-dessus ne décrit votre situation et que vous voulez simplement savoir dans quel état est le site, commencez par le quart d’heure avec la liste des comptes décrit plus haut, puis vérifiez gratuitement l’état de votre domaine dans l’outil de navigation sécurisée de Google et dans la Search Console. Les deux se font sans aide et en disent plus que n’importe quelle offre reçue sans vérification.

« Un collaborateur a cliqué sur un lien »

La couche entreprise : la messagerie, les téléphones, les comptes dans les systèmes des autres. Un réflexe qui vaut mieux qu’une formation à la reconnaissance de l’hameçonnage, quatre gestes après le clic, et une protection collective que vous alimentez sans le savoir.

→ Sécurité des données en entreprise

Dans quel ordre lire

Trois parcours, selon ce qui vous amène ici.

Rien ne s’est passé et vous voulez simplement mettre de l’ordre. Commencez par la section plus haut, puis la section sur l’ordre des tâches et la sauvegarde. Trois étapes, un après-midi, et ce qui se ferme le moins cher est fermé.

Quelque chose s’est déjà produit. Allez directement à la sécurité d’un site internet, section sur ce qu’il faut faire après une intrusion — et s’il s’agit d’un clic sur un lien ou d’une boîte mail prise, à la sécurité des données en entreprise. Si des données de personnes figurent parmi ce qui est devenu inaccessible ou a fuité, une obligation d’annonce s’ajoute : politique de confidentialité.

Vous préparez une discussion avec votre prestataire. Lisez les mises à jour et la sauvegarde : chacun de ces textes produit des questions précises à poser en réunion, et chacun se termine par la liste de ce que la réponse devrait contenir.

L’ordre dans lequel s’y prendre

L’ordre de cette figure ne suit pas ce qui est le plus intéressant, mais le risque que chaque mesure ferme rapporté à l’effort qu’elle demande. Les trois premières sont gratuites et tiennent en un après-midi.

Remarquez où se trouvent la surveillance et l’extension de sécurité : tout en bas. Non qu’elles soient inutiles, mais installées avant la liste des comptes, elles donnent le sentiment d’avoir agi sans fermer la voie par laquelle on entre réellement. C’est l’erreur d’ordre que nous voyons le plus souvent, et la plus coûteuse, parce qu’elle coûte à la fois un abonnement et une fausse tranquillité.

Une remarque sur la figure elle-même : ces deux mesures sont notre appréciation issue des audits, pas une mesure. La légende le dit aussi. Le chiffre qui est une mesure — la répartition des signalements — se trouve en introduction et vient du rapport de l’OFCS.

Une réserve sur ce chiffre, d’ailleurs, parce qu’elle fait partie de l’honnêteté du raisonnement : ce sont des signalements volontaires, qui proviennent à 90 % de particuliers et à 10 % d’entreprises, selon le rapport précédent de l’OFCS. Ils décrivent ce qui est signalé, pas tout ce qui arrive. Pour votre décision, cela ne change rien : ce qui compte, c’est la proportion entre les catégories, et elle pointe dans la même direction semestre après semestre.

Ce qui est gratuit, et ce qui se paie

Autant le dire franchement, parce que le marché des services de sécurité vend l’impression inverse.

Gratuit : la liste des comptes et le retrait des accès inutiles, le deuxième facteur d’authentification, des mots de passe uniques, la suppression des extensions inutilisées, la vérification de l’adresse de réinitialisation, le signalement des messages suspects à l’OFCS, la vérification de votre domaine dans les outils de Google.

Peu coûteux : une copie rangée hors du compte d’hébergement. C’est la seule dépense que nous recommandons à pratiquement tout le monde. Dans notre calculateur de coût de maintenance, la sauvegarde hebdomadaire figure à 15 CHF par mois et la quotidienne à 30 CHF. Ce sont nos tarifs, pas une moyenne du marché suisse : nous n’avons pas relevé ceux des autres.

Raisonnablement payant quand le site rapporte : une surveillance qui prévient une personne précise, et une maintenance technique avec un délai de réaction convenu. La différence entre « je l’apprends dans l’heure » et « je l’apprends par un client une semaine plus tard » devient alors chiffrable — et c’est la seule manière de justifier cette dépense par un chiffre plutôt que par une intuition.

Il existe aussi une catégorie intermédiaire dont on parle rarement : le temps de quelqu’un qui passe tout en revue pour vous une fois par trimestre. Ni surveillance ni abonnement, simplement une heure de travail avec la liste des comptes, les extensions et la copie. Dans une entreprise où personne n’ouvre l’administration sauf pour publier un article, c’est l’heure la mieux dépensée de toute la rubrique.

Ce qui ne vaut pas la peine : les formules « sécurité premium » collées à l’hébergement quand on ignore ce qu’elles couvrent. La question de contrôle est unique et tranche en une phrase — ce service préviendra-t-il une personne précise, ou produira-t-il un rapport dans un tableau de bord que personne n’ouvre ?

Ce que la rubrique ne couvre pas

• Qui s’en occupe chaque mois — maintenance technique, surveillance, assistance et leurs coûts : la rubrique maintenance.
• Sur quoi repose le site — la rubrique technologies.
• Avec quoi vous gérez vos contenus — la rubrique outils.
• Les échéances externes, qui tombent indépendamment de vous — fin de support d’une version logicielle, exigences des navigateurs : modernisation du site. C’est une décision distincte, dictée par le calendrier et non par vos symptômes.
• Les avis juridiques dans les cas douteux. Nous décrivons ce que nous voyons lors des mises en œuvre et citons les bases légales, article par article, pour que vous puissiez les vérifier. En cas de litige ou pour évaluer un risque : un juriste.

Trois phrases qui font tout repousser

« Nous sommes trop petits pour intéresser qui que ce soit. » Les campagnes de fraude et d’hameçonnage ne choisissent pas leurs cibles : elles réutilisent des identifiants issus de fuites et essaient des noms de comptes connus sur tout ce qui répond. Personne ne vérifie la taille de l’entreprise avant de tenter une connexion.

« L’hébergeur s’en occupe », ou « notre informaticien s’en occupe ». Il s’occupe de sa couche, et en général il le fait bien. Il ne répond pas des comptes de votre administration, des extensions abandonnées ni des accès accordés il y a trois ans. La LPD le dit à sa manière : c’est vous, en tant que responsable du traitement, qui devez vous assurer que votre sous-traitant est en mesure de garantir la sécurité des données (art. 9, al. 2), et c’est à vous qu’il doit annoncer une violation (art. 24, al. 3) — pas l’inverse.

« Nous le ferons à la prochaine refonte. » La plus coûteuse des trois, parce que la liste de cette rubrique n’a rien à voir avec une refonte : ce sont des réglages, pas un projet. La repousser au prochain grand chantier, c’est d’ordinaire deux ans d’accès ouverts en échange de rien.

Point commun : chacune de ces phrases reporte la responsabilité sur quelque chose d’extérieur — la taille de l’entreprise, le prestataire, le calendrier. La liste qui fonctionne est entièrement interne, et c’est pour cela qu’elle est souvent la plus difficile à commencer.

Il existe une quatrième phrase, plus rare, qui mérite d’être notée parce qu’elle sonne plus raisonnable que les autres : « nous le ferons quand nous aurons le budget ». Pour cette liste, le budget n’est pas le goulet d’étranglement — les trois mesures les plus efficaces coûtent zéro. Le goulet, c’est la décision de savoir qui, dans l’entreprise, ouvre l’administration et retire l’accès d’une personne avec qui l’on a bien travaillé. C’est inconfortable, et c’est pour cela que la tâche glisse dans l’agenda sous un autre nom.

Ce que la rubrique s’interdit

Pour finir, trois choses que vous ne trouverez pas dans ces six textes, parce que nous choisissons de ne pas les écrire.

Pas de chiffres sans origine pour faire peur. Chaque chiffre de la rubrique a une source nommée et datée, et quand la source est un fournisseur intéressé par le résultat, nous le disons avec le chiffre. Des versions précédentes de ces textes, nous avons retiré toutes les statistiques qui ne pouvaient être rattachées à rien.

Pas de vente d’outils. Nous ne comparons ni extensions ni fournisseurs : ils changent plus vite qu’un texte ne peut suivre, et le choix dépend de ce que vous utilisez déjà.

Pas de faux conseil juridique. Quand la loi entre en jeu, nous citons la base légale avec le numéro d’article et un lien vers le texte, pour que vous puissiez la vérifier ou la montrer à un juriste. Les cas douteux lui appartiennent.