QuestionRelu par Hugo Berton
Sécuriser son site internet : 10 pratiques et 15 questions au prestataire
Sécuriser un site internet : mises à jour, sauvegardes testées, HTTPS, nom de domaine protégé. Les consignes officielles de 2026 et ce qu'annoncent 4 offres.
Par Hugo Berton · · 3 min de lecture · relu le 14 septembre 2026
En bref
Pour sécuriser un site internet, Cybermalveillance.gouv.fr recommande dix pratiques dans sa fiche mise à jour le 6 mai 2026 : protéger le serveur, n'ouvrir que les services utiles, appliquer les mises à jour dès leur sortie, des mots de passe solides avec double authentification, des sauvegardes testées, le HTTPS, peu d'administrateurs aux droits limités, un nom de domaine protégé, des extensions vérifiées et une surveillance quotidienne. Sur un hébergement externalisé, il faut s'assurer des moyens du prestataire : le dispositif propose pour cela 15 questions à lui poser.
- 10bonnes pratiques de sécurisation d'un site listées par Cybermalveillance.gouv.fr, fiche mise à jour le 6 mai 2026
- 15questions à poser à son support informatique pour évaluer la sécurité de son site, fiche mise à jour le 25 août 2025
Site internet : pourquoi il est si exposé
La fiche « Comment sécuriser son site Internet ? », publiée le 14 avril 2021 et mise à jour le 6 mai 2026, décrit les sites comme des « éléments très exposés » du système d'information : défigurations, dénis de service, vol des données personnelles ou bancaires des clients inscrits. Les préjudices vont de l'atteinte à la réputation aux pertes directes de revenus.
Elle précise qu'« une grande majorité d'attaques de sites Internet est rendue possible par l'exploitation de failles de sécurité », pourtant corrigées par les éditeurs mais pas toujours appliquées à temps. Et que l'hébergement soit internalisé ou externalisé, « il est essentiel de les sécuriser au mieux ».
Les 10 bonnes pratiques
La fiche les adresse à l'organisation ou à son prestataire. Le tableau les résume dans son ordre.
| Pratique | Ce que précise la fiche |
|---|---|
| 1. Sécuriser le serveur | défense en profondeur : pare-feu, anti-DDoS, antivirus, pare-feu applicatif |
| 2. Configurer au juste besoin | tout ce qui n'a pas besoin d'être autorisé est interdit, navigation dans les dossiers bloquée |
| 3. Mettre à jour sans tarder | système, gestionnaire de contenu, base de données, extensions, en automatique si possible |
| 4. Mots de passe solides | différents par service, renouvelés au moindre doute, double authentification |
| 5. Sauvegarder et tester | site, configuration et bases de données, restauration testée, support déconnecté |
| 6. HTTPS partout | pour que les identifiants, cookies et données bancaires ne soient pas interceptés |
| 7. Moindre privilège | peu d'administrateurs, des comptes individuels plutôt que génériques |
| 8. Protéger le nom de domaine | marque à l'INPI, verrou de registre, DNSSEC, renouvellement à temps |
| 9. Extensions vérifiées | notoriété et date de dernière mise à jour, téléchargées sur le site officiel |
| 10. Surveiller au quotidien | connexions à l'administration, dépôts de fichiers, mises à jour d'articles |
Les 15 questions à poser à son prestataire
La fiche « Mon site Internet est-il sécurisé ? », publiée le 12 mai 2022 et mise à jour le 25 août 2025, propose 15 questions à poser à son support informatique. Elles reprennent les pratiques ci-dessus sous forme vérifiable : les accès sont-ils filtrés par un pare-feu, le site est-il protégé contre le déni de service et par un antivirus, mis à jour de tous ses correctifs, sauvegardé avec des sauvegardes testées ? Les services ouverts sont-ils limités au strict nécessaire, l'administration réservée aux personnes autorisées, avec des mots de passe solides et uniques et une double authentification ?
Viennent ensuite le HTTPS, la protection du nom de domaine, des extensions « indispensables et réputées sûres », la journalisation de tous les accès, la surveillance de l'activité et un contrôle régulier de la sécurité par des spécialistes. La fiche rappelle qu'« une mauvaise gestion des mots de passe est l'une des premières causes des cyberattaques ».
Ce qu'annoncent quatre offres que nous avons relues
Plusieurs de ces questions trouvent une première réponse dans la page de l'offre elle-même. Le tableau reprend ce que nos pages tarifs ont relevé ; ce sont des annonces commerciales, pas des vérifications techniques. Sur un WordPress installé chez un hébergeur, les mises à jour du logiciel et de ses extensions restent à la charge du propriétaire ou de son hébergeur, quand une plateforme comme Wix les gère elle-même : voir Wix ou WordPress.
| Offre | Sauvegardes annoncées | Protections annoncées |
|---|---|---|
| o2switch | journalières, conservées 30, 45 ou 90 jours selon l'offre | pare-feu web TigerProtect, antivirus PHP ImunifyAV+, anti-DDoS Arbor |
| Hostinger | hebdomadaires sur Premium, quotidiennes sur Unlimited | certificat SSL et réseau de diffusion de contenu sur les trois plans |
| Wix | non relevées sur la page tarifs | mises à jour de sécurité et hébergement gérés par la plateforme, disponibilité annoncée de 99,99 % |
| Shopify | non relevées sur la page tarifs | hébergement et certificat SSL compris, d'après la FAQ |
Le nom de domaine, maillon souvent oublié
Un nom de domaine s'enregistre pour une durée de 1 à 10 ans : oublier de le renouveler, c'est risquer de le voir « libéré et réutilisé par un tiers à des fins malveillantes ». La fiche conseille de le déposer comme marque à l'INPI en plus de sa réservation, d'adopter une politique de gestion, et d'utiliser le verrou de registre, .FR Lock pour un domaine en .fr, et DNSSEC, recommandés par l'AFNIC. Quand un faux site imite déjà le vôtre, voir notre page sur l’usurpation de site internet.
Ce que cette page ne dit pas
Nous n'avons pas testé la sécurité des offres citées. La conformité juridique du site, RGPD, mentions légales et cookies, relève des conseils de la CNIL vers lesquels renvoie la fiche. Les réflexes sur les postes de travail sont dans les 10 mesures essentielles de sécurité informatique. Fiches lues le 14 septembre 2026.
Questions fréquentes
Comment savoir si mon site internet est sécurisé ?
En posant à son prestataire les 15 questions de Cybermalveillance.gouv.fr : pare-feu, protection contre le déni de service, mises à jour, sauvegardes testées, double authentification, HTTPS, journalisation, et audit régulier par des spécialistes.
Le HTTPS suffit-il à sécuriser un site ?
Non : il protège les échanges contre l'interception, mais ce n'est qu'une des dix pratiques de la fiche, à côté des mises à jour, des sauvegardes et du contrôle des accès.
Les extensions WordPress sont-elles un risque ?
Elles peuvent l'être si elles sont obsolètes ou mal sécurisées : la fiche conseille de vérifier leur notoriété et leur date de dernière mise à jour, et de les télécharger sur le site officiel.
Mon hébergeur s'occupe-t-il de la sécurité ?
En partie selon l'offre. La fiche demande, en hébergement externalisé, de s'assurer des moyens mis en œuvre par le prestataire pour protéger le site.
Sources consultées
- Cybermalveillance.gouv.fr — Comment sécuriser son site Internet ? (mise à jour le 6 mai 2026)cybermalveillance.gouv.fr · consulté le 14 septembre 2026
- Cybermalveillance.gouv.fr — Mon site Internet est-il sécurisé ? (mise à jour le 25 août 2025)cybermalveillance.gouv.fr · consulté le 14 septembre 2026