LIAISON CHECK GRATUIT · ENVIRON 15 MIN · ENGLISH

POUR LES ENTREPRISES SANS SERVICE INFORMATIQUE · SANS INSCRIPTION

Le check sécurité de 15 minutes pour une petite entreprise

La plupart du temps, entrer dans une petite entreprise ne demande pas grand-chose. Une vieille extension, l’accès d’un freelance parti il y a deux ans, une sauvegarde qui traîne sur le site. Ce check passe avec vous sur les points faibles habituels et vous montre où cliquer.

  • Dites-nous sur quoi tourne votre entreprise, et nous sauterons ce qui ne vous concerne pas.
  • Suivez chaque étape avec votre ordinateur et vos identifiants à portée de main.
  • À la fin, vous aurez une courte liste de ce qu’il reste à faire.

Sur quoi tourne votre entreprise

Votre site web
Un boîtier au bureau ou à la maison

Un NAS (un petit serveur de fichiers, comme Synology ou QNAP), un boîtier VPN (pour rejoindre le réseau du bureau depuis l’extérieur), ou un routeur que vous avez configuré vous-même.

Code

Écrivez-vous ou publiez-vous du logiciel : une appli, un SaaS, des scripts qui parlent à des services payants ?

9 ÉTAPESTOUTES, TANT QUE VOUS N’AVEZ PAS RÉPONDU

Votre check

Les étapes sont classées par importance : si vous n’avez que cinq minutes, commencez par le haut.

  1. 01La double authentification sur vos comptes importants

    Commencez par votre messagerie. Si quelqu’un y entre, il peut réinitialiser le mot de passe de presque tout ce que vous utilisez. Faites ensuite pareil pour le compte où vous avez acheté votre nom de domaine, et pour votre site ou votre boutique.

    La double authentification (souvent appelée 2FA) veut dire qu’après votre mot de passe, le site vous demande un code reçu sur votre téléphone. Les mots de passe fuitent plus souvent qu’on ne le croit, en général via un autre site qui s’est fait pirater. En juin 2024, c’est comme ça que des attaquants sont entrés dans les comptes de cinq développeurs d’extensions WordPress, puis ont caché une porte dérobée dans des extensions utilisées sur jusqu’à 35 000 sites.

    Source : Wordfence, juin 2024

    Montrez-moi commentMasquer les étapes
    1. Messagerie. Gmail ou Google Workspace : allez sur myaccount.google.com, puis Sécurité, puis Validation en deux étapes. Outlook ou Microsoft 365 : account.microsoft.com, puis Sécurité. Autre chose : cherchez « deux étapes » dans son aide.
    2. Votre domaine. Connectez-vous chez la société où vous l’avez acheté (OVH, IONOS, GoDaddy, Namecheap, Gandi, Cloudflare…), ouvrez les réglages de sécurité et activez la double authentification. Profitez-en pour vérifier que le domaine est verrouillé (parfois appelé verrouillage de transfert), pour que personne ne puisse le transférer ailleurs.
    3. Votre site, votre boutique ou votre hébergement. Même chose, dans les réglages du compte ou de sécurité.
    4. Quand on vous demande comment recevoir vos codes, choisissez une appli d’authentification (Google Authenticator, Microsoft Authenticator, 1Password…) ou une clé d’accès (passkey) si elle est proposée. Les SMS fonctionnent, mais quelqu’un peut convaincre votre opérateur de transférer votre numéro sur sa propre carte SIM.
    5. Chaque service vous donne des codes de secours. Imprimez-les ou notez-les et rangez-les en lieu sûr : ils vous permettent de revenir si vous perdez votre téléphone.

    C’est fait quand votre messagerie, votre domaine et votre site demandent tous un code quand vous vous connectez depuis un nouvel appareil.

    Chez les éditeurs : Google · Microsoft · Shopify · Cybermalveillance.gouv.fr

  2. 02Les vieux accès de gens qui sont partis

    Pensez au freelance qui a fait votre site, à une agence avec qui vous avez travaillé il y a des années, à un compte de test, à un salarié qui est parti. Leurs accès fonctionnent souvent encore, et personne ne les surveille.

    C’est aussi un bon moyen de repérer un problème. Les extensions piégées de la première étape fonctionnaient en ajoutant discrètement un nouveau compte administrateur : un administrateur que vous ne reconnaissez pas mérite d’être pris au sérieux.

    Montrez-moi commentMasquer les étapes
    1. WordPress : allez dans Comptes, puis Tous les comptes, et cliquez sur Administrateur au-dessus de la liste. Supprimez toute personne que vous ne reconnaissez pas ou qui ne travaille plus avec vous. WordPress demande quoi faire de ses pages : attribuez-les à votre propre compte.
    2. Boutique ou créateur de site : Paramètres, puis Utilisateurs, Personnel ou Équipe. Retirez toute personne partie.
    3. Hébergement, domaine et messagerie : cherchez « utilisateurs », « équipe » ou « accès délégués » et faites de même.
    4. Si une personne partie a connu un mot de passe que vous utilisez encore, changez-le.
    5. Les personnes qui ne font qu’écrire des pages ou des articles n’ont pas besoin d’être administrateurs. Dans WordPress, donnez-leur plutôt le rôle Éditeur ou Auteur.

    C’est fait quand chaque administrateur est quelqu’un qui travaille avec vous aujourd’hui.

    Chez l’éditeur : WordPress, les rôles (en anglais)

  3. 03Les extensions WordPress

    Les extensions (plugins) sont les modules qui donnent à un site WordPress son formulaire de contact, sa boutique, ses réglages SEO. Chacune vient d’un développeur différent, et c’est là que se trouvent presque tous les problèmes de sécurité. Sur les 11 334 failles trouvées dans des sites WordPress en 2025, 91 % étaient dans des extensions et 9 % dans des thèmes. WordPress lui-même en avait 6.

    Les correctifs sortent en général vite. Le problème, ce sont les sites qui ne les installent jamais, et les robots cherchent précisément ceux-là.

    Source : Patchstack, State of WordPress Security in 2026

    Montrez-moi commentMasquer les étapes
    1. Allez dans Tableau de bord, puis Mises à jour. Si votre hébergeur propose une sauvegarde en un clic, faites-en une d’abord, puis installez tout ce qui attend.
    2. Dans Extensions, puis Extensions installées, cliquez sur Activer les mises à jour auto pour chaque extension. Puis allez dans Apparence, Thèmes, ouvrez chaque thème et faites de même.
    3. Supprimez les extensions désactivées ou inutilisées, et tous les thèmes sauf celui qu’utilise votre site (et son thème parent, s’il en a un). Désactiver une extension ne suffit pas : ses fichiers restent sur votre serveur, et certaines failles restent atteignables même quand elle est désactivée.
    4. Pour les extensions que vous gardez, cherchez-les sur wordpress.org et regardez Dernière mise à jour. Si c’était il y a plus d’un an, l’extension est probablement abandonnée et personne ne corrigera sa prochaine faille. Ça vaut la peine de la remplacer.

    C’est fait quand aucune mise à jour n’attend, que les mises à jour automatiques sont activées, et qu’il ne reste aucune extension désactivée dans la liste.

    Chez l’éditeur : WordPress, mises à jour automatiques (en anglais) · WordPress, gérer les extensions (en anglais)

  4. 04Votre espace d’hébergement

    Votre site tourne sur un langage de programmation appelé PHP, et votre hébergeur vous laisse choisir la version. Les anciennes versions ne reçoivent plus de correctifs de sécurité : tout ce qu’on y trouve ensuite reste ouvert. Aujourd’hui (novembre 2026), les versions 8.2 à 8.5 sont encore couvertes, et la 8.2 sort de la liste le 31 décembre 2026.

    Tant que vous y êtes, cherchez FTP et SSH. Ce sont deux vieilles portes d’entrée sur votre serveur : FTP pour envoyer des fichiers, qui transmet votre mot de passe en clair, et SSH pour taper des commandes directement dessus. On les active souvent une fois, puis on les oublie.

    Source : PHP, versions prises en charge

    Montrez-moi commentMasquer les étapes
    1. Trouvez votre version de PHP. Dans WordPress : Outils, puis Santé du site, puis Infos, puis Serveur. Ou dans votre espace d’hébergement (cPanel, Plesk ou celui de votre hébergeur), cherchez « version PHP » ou « sélecteur PHP ».
    2. Si la vôtre est plus ancienne que la 8.2, la plupart des hébergeurs permettent de changer en un clic. Faites d’abord une sauvegarde, passez à la version la plus récente proposée, puis ouvrez votre site et vérifiez que les pages principales et le paiement fonctionnent toujours. Si quelque chose casse, revenez en arrière et demandez à votre hébergeur ou à votre développeur quelle extension mettre à jour d’abord.
    3. Dans le même espace, trouvez les comptes FTP et supprimez ceux que personne n’utilise. Si vous envoyez encore des fichiers par ce biais, passez à SFTP, qui est chiffré.
    4. Trouvez l’accès SSH. Si personne ne s’en sert, désactivez-le. Si votre développeur s’en sert, demandez-lui d’utiliser une clé plutôt qu’un mot de passe.

    C’est fait quand vous êtes en PHP 8.3 ou plus récent et que chaque accès FTP ou SSH a une raison d’exister.

    Chez l’éditeur : WordPress, sécurisation (en anglais)

  5. 05Les fichiers que votre site ne devrait pas montrer

    Il arrive qu’un site se retrouve avec des fichiers qui n’auraient jamais dû être publics : une sauvegarde complète, un journal d’erreurs, ou un fichier de réglages contenant le mot de passe de votre base de données. Des robots vérifient chaque site pour les trouver, toute la journée.

    En août 2024, des chercheurs de Palo Alto Networks ont découvert un groupe qui avait récupéré des mots de passe et des clés dans des fichiers de réglages de ce type (on les appelle des fichiers .env) sur 110 000 sites. Ils s’en sont servis pour entrer dans les comptes cloud des propriétaires, ont copié les données et ont demandé une rançon.

    Source : Unit 42, Palo Alto Networks, août 2024

    Montrez-moi commentMasquer les étapes

    Tapez l’adresse de votre site et nous listerons les adresses que les robots essaient le plus souvent. Ouvrez chacune. Les liens vont directement de votre navigateur à votre site : nous ne les voyons jamais.

    1. Pas de souci : une page « introuvable », une erreur comme 403 Forbidden, ou simplement votre page d’accueil.
    2. Un problème : une page de texte avec des mots comme DB_PASSWORD, API_KEY ou SECRET, une liste de fichiers, ou un téléchargement qui démarre tout seul (vous pouvez l’annuler, vous avez vu ce qu’il fallait).
    3. Si vous en trouvez un, supprimez ce fichier dans le gestionnaire de fichiers de votre hébergement, ou demandez à votre développeur de le faire. Puis changez chaque mot de passe et chaque clé qu’il contenait, car il n’y a aucun moyen de savoir qui l’a vu en premier.

    C’est fait quand chaque lien de la liste donne une erreur, une page introuvable ou votre page d’accueil.

    Chez l’éditeur : WordPress, sécurisation (en anglais)

  6. 06Les applis connectées à votre boutique

    Shopify, Wix et Squarespace s’occupent pour vous de leurs serveurs et des mises à jour. Ce dont ils ne s’occupent pas, ce sont les applis que vous avez ajoutées. Chacune a reçu la permission de voir des choses comme vos commandes, vos clients ou vos paiements, et elle garde cet accès même si vous avez arrêté de l’utiliser il y a des années.

    Si la société derrière une appli se fait pirater, est rachetée ou arrête simplement de la maintenir, cet accès est toujours là.

    Montrez-moi commentMasquer les étapes
    1. Ouvrez votre liste d’applis. Dans Shopify, c’est Paramètres, puis Applications. Dans Wix et Squarespace, cherchez Applis ou Extensions dans votre tableau de bord.
    2. Désinstallez tout ce que vous n’utilisez plus. Si vous ne savez pas à quoi sert une appli, sa page dans la boutique d’applis vous le dira.
    3. Faites de même avec les outils connectés de l’extérieur, comme Zapier, Make, votre outil d’e-mailing ou votre outil d’expédition. Leurs réglages ont en général une liste appelée « comptes connectés » ou « intégrations ».
    4. Pour les applis que vous gardez, vérifiez sur leur page qu’elles reçoivent encore des mises à jour.

    C’est fait quand chaque appli de la liste est une appli que vous utilisez vraiment.

  7. 07Le boîtier de votre bureau

    Un NAS, un boîtier VPN ou un routeur que vous avez configuré vous-même est en fait un petit ordinateur avec son propre logiciel, appelé firmware. S’il est joignable depuis internet, on peut essayer d’y entrer depuis n’importe où, et ces boîtiers ne sont presque jamais mis à jour à la main.

    En janvier 2022, un rançongiciel appelé DeadBolt a verrouillé les fichiers de milliers de NAS QNAP joignables en ligne. QNAP avait publié un correctif le mois précédent ; les boîtiers touchés ne l’avaient simplement pas installé. Les boîtiers VPN de Fortinet, Ivanti, SonicWall et Cisco reviennent aussi sans cesse sur la liste du gouvernement américain des failles utilisées dans de vraies attaques.

    Sources : The Hacker News, janv. 2022 · CISA, failles exploitées connues

    Montrez-moi commentMasquer les étapes
    1. Vous ne savez pas si vous en avez un ? Regardez ce qui est branché sur votre box internet. Tout ce qui a sa propre alimentation et une marque dessus (Synology, QNAP, Netgear, Fortinet…) peut en être un. L’étiquette donne en général l’adresse de sa page d’administration.
    2. Mettez-le à jour. Connectez-vous à sa page d’administration, trouvez Mise à jour ou Firmware, installez la dernière version, et activez les mises à jour automatiques s’il en a.
    3. Coupez l’accès à distance que vous n’utilisez pas. Sur un NAS, c’est QuickConnect (Synology) ou myQNAPcloud (QNAP), la redirection de ports et l’UPnP. Sur un routeur, cherchez « gestion à distance » ou « administration à distance ». Si vous ne vous en servez jamais hors du bureau, désactivez-le.
    4. Changez l’accès administrateur. Aucun boîtier ne devrait encore avoir son mot de passe d’usine. Sur un NAS, désactivez le compte intégré admin et utilisez le vôtre, avec la double authentification.
    5. Un boîtier VPN doit être joignable de l’extérieur, c’est son rôle. Mettez donc en favori la page des avis de sécurité du fabricant et consultez-la chaque mois. (Liaison les vérifie chaque semaine et vous prévient quand le vôtre y figure.)

    C’est fait quand le boîtier est à jour, se met à jour tout seul, et que rien dessus n’est ouvert sur internet sans raison.

    Chez les fabricants : Synology, sécuriser votre NAS · avis de sécurité Synology · avis de sécurité QNAP

  8. 08Les clés dans votre code

    Une clé d’API est en fait un mot de passe qui permet à votre code d’utiliser un service payant comme Stripe, AWS, OpenAI ou votre fournisseur d’e-mails. Il est facile d’en committer une dans Git par accident. Si le dépôt est public, ou si quelqu’un d’autre y entre, il peut faire grimper la facture sur votre compte ou lire tout ce que la clé ouvre.

    Supprimer le fichier ensuite ne règle rien, car Git garde toutes les anciennes versions. C’est la clé elle-même qu’il faut remplacer.

    Montrez-moi commentMasquer les étapes
    1. Sur GitHub, ouvrez les Settings de chaque dépôt, puis Advanced Security (ou Code security), et activez secret scanning et push protection. La push protection bloque tout commit qui contient une clé. Les deux sont gratuits sur les dépôts publics ; pour les privés, cela dépend de votre offre.
    2. Vérifiez que .env figure dans votre fichier .gitignore, pour que les fichiers de réglages ne soient jamais commités.
    3. Cherchez dans votre code sk_live, AKIA et BEGIN PRIVATE KEY. C’est ainsi que commencent une clé Stripe de production, une clé AWS et une clé privée.
    4. Si une clé a déjà été commitée, révoquez-la chez le fournisseur et créez-en une nouvelle.

    C’est fait quand la push protection est activée, que .env est ignoré, et que chaque clé déjà commitée a été remplacée.

    Chez l’éditeur : GitHub, secret scanning · GitHub, push protection

  9. 09Les sauvegardes, et qui appeler

    Si quelque chose tourne mal, ce qui compte, c’est la vitesse à laquelle vous revenez à la normale. Cela tient surtout à deux choses : une sauvegarde qui fonctionne vraiment, et savoir qui appeler.

    Restaurer une sauvegarde une fois est le seul moyen de savoir qu’elle fonctionne. Et gardez une copie de vos fichiers importants à un endroit qui n’est pas branché en permanence, car un rançongiciel chiffre tous les disques qu’il peut atteindre.

    Montrez-moi commentMasquer les étapes
    1. Votre site : trouvez où sont ses sauvegardes (une page Sauvegardes dans votre espace d’hébergement, une extension de sauvegarde, ou les réglages de votre créateur de site). Vérifiez jusqu’à combien de jours en arrière vous pouvez remonter, et si une copie est gardée ailleurs que chez votre hébergeur.
    2. En avez-vous déjà restauré une ? Sinon, bloquez 30 minutes ce mois-ci pour en restaurer une sur une copie de test, ou demandez à votre hébergeur ou à votre développeur de vous guider.
    3. Vos fichiers : ce que vous ne pouvez pas perdre (factures, contrats, dossiers clients) doit exister à deux endroits, dont un qui n’est pas toujours relié à votre ordinateur.
    4. Écrivez une fiche d’urgence, sur papier : votre hébergeur et votre registraire de domaine et comment joindre leur support, qui a un accès administrateur à quoi, où sont les sauvegardes, et comment passer votre site en maintenance ou le mettre hors ligne.

    C’est fait quand vous savez où est la sauvegarde, que vous en avez restauré une au moins une fois, et que la fiche est dans un tiroir.

    Conseils : WordPress, sauvegardes (en anglais) · Cybermalveillance.gouv.fr, les sauvegardes

Votre résultat

ÉTAPES FAITES

Cochez chaque étape au fur et à mesure et votre liste apparaîtra ici.

Ce check résume les conseils publics des éditeurs et des agences cités à chaque étape. Ce n’est pas un conseil professionnel : pour votre propre installation, c’est la page de l’éditeur qui fait foi. Dernière relecture le 04 nov. 2026.