Maintenance et sécurité d’un site internet : quoi faire, quand, et en cas de piratage

Pourquoi un site non maintenu devient-il un risque ?

Parce que beaucoup d’attaques sont automatisées. Selon la documentation de WordPress, de nombreuses attaques contre des sites WordPress sont menées de façon autonome par des robots malveillants, et Google précise que les attaquants recherchent activement les logiciels anciens et vulnérables : un CMS (le logiciel de gestion du site, comme WordPress) ou une extension pas à jour. Dès qu’une faille est publiée avec son correctif, chaque site qui n’a pas été mis à jour devient une cible potentielle, qu’il appartienne à une multinationale ou à un plombier de Namur.

Selon Google, un site piraté peut servir à afficher du spam, à distribuer des logiciels malveillants, à piéger vos visiteurs par hameçonnage (phishing) ou à les rediriger vers d’autres sites. Les données qu’il contient peuvent aussi être volées. Pour vous, cela peut se traduire par :

• des pages de spam ou des redirections, et une mention de piratage sous votre site dans les résultats de Google ;
• un avertissement de site dangereux affiché par les navigateurs ;
• une fuite des données de vos formulaires ou de vos clients, avec, selon le risque, des obligations de notification.

Même un site qu’on ne touche plus change autour de lui : le certificat HTTPS expire, la version de PHP (le langage dans lequel est écrit WordPress, comme de très nombreux sites) sort du support, le nom de domaine doit être renouvelé. Enfin, dès que le site traite des données personnelles, l’article 32 du RGPD impose des mesures de sécurité adaptées au risque ; parmi celles qu’il cite, selon les besoins, figurent les moyens de rétablir les données après un incident et le test régulier de l’efficacité des mesures. Des sauvegardes testées y contribuent directement.

Quelles tâches de maintenance, et à quelle fréquence ?

Le tableau suivant vaut pour un site WordPress ou un autre CMS. Un site codé sur mesure sans extensions a souvent moins de composants à mettre à jour, mais il demande lui aussi un suivi, assuré par un développeur qui connaît son code.

Le renouvellement, la quarantaine et les verrous de protection d’un .be sont détaillés dans le chapitre sur le nom de domaine .be.

Mettre à jour WordPress sans casser le site

Par défaut, WordPress installe seul ses mises à jour mineures (maintenance et sécurité), et les nouvelles installations depuis la version 5.6 reçoivent aussi les versions majeures. Les extensions et thèmes, eux, ne se mettent pas à jour automatiquement, sauf dans des cas particuliers décidés par l’équipe de sécurité de WordPress ; depuis WordPress 5.5, vous pouvez activer leur mise à jour automatique extension par extension et thème par thème. La méthode la plus prudente : sauvegarde, mise à jour sur une copie de test, vérification des pages clés (formulaire, paiement), puis mise en production. Après une sauvegarde, supprimez les extensions et thèmes dont vous êtes sûr de ne plus avoir besoin plutôt que de les laisser désactivés, en sachant que la suppression d’une extension peut effacer ses réglages et ses données. Ne supprimez ni le thème actif ni son éventuel thème parent. Remplacez les extensions qui ne reçoivent plus de mises à jour. Le nombre d’extensions pèse directement sur la charge de maintenance, un critère à peser dans le choix entre WordPress et un site sur mesure.

Suivre la version de PHP

Au 30 septembre 2026, WordPress recommande PHP 8.3 ou plus récent. Le changement se fait en général depuis le panneau de l’hébergeur, mais une vieille extension peut ne pas le supporter : testez d’abord sur une copie.

Comment sauvegarder un site correctement ?

Appliquez la règle 3-2-1 : trois copies des données (le site et deux sauvegardes), sur deux supports ou services différents, dont une hors de chez l’hébergeur. Les sauvegardes de l’hébergeur sont utiles, mais elles ne remplacent pas cette copie externe. Les garanties de sauvegarde à exiger d’un hébergeur sont listées dans le chapitre sur le choix de l’hébergement.

• Quoi : les fichiers (thème, extensions, images), la base de données, les fichiers de configuration, et les e-mails s’ils sont hébergés au même endroit.
• Combien de temps : gardez plusieurs semaines d’historique, par exemple 30 sauvegardes quotidiennes et 12 mensuelles. Une intrusion peut être découverte tard : il faut pouvoir remonter à une sauvegarde antérieure à l’intrusion, pas seulement à la plus récente.
• Où : au moins une copie que le serveur du site ne peut pas effacer (stockage séparé, idéalement non modifiable), pour résister à un pirate ou à un rançongiciel.
• Protection : une sauvegarde contient les données de vos clients ; chiffrez-la, limitez son accès et conservez la clé de déchiffrement ailleurs que sur le serveur, car sans elle la sauvegarde est inutilisable.

Quelles protections mettre en place ?

HTTPS et certificat

Le HTTPS chiffre les échanges entre le navigateur et le site ; il est indispensable, formulaire ou pas. Les certificats durent de moins en moins : un certificat public émis depuis le 15 mars 2026 vaut au plus 200 jours, puis 100 jours pour ceux émis à partir du 15 mars 2027 et 47 jours à partir du 15 mars 2029, selon le calendrier adopté par le CA/Browser Forum. Un renouvellement une fois par an n’est donc plus possible : mieux vaut l’automatiser et le surveiller. Let’s Encrypt, autorité de certification gratuite, n’envoie plus d’e-mails d’expiration depuis juin 2025 : mettez en place votre propre alerte.

En-têtes de sécurité

Quelques lignes de configuration du serveur ferment des portes courantes : Strict-Transport-Security (impose le HTTPS), Content-Security-Policy (limite les scripts autorisés), X-Content-Type-Options: nosniff, la directive frame-ancestors de cette politique ou X-Frame-Options (empêche l’affichage du site dans un cadre piégé), Referrer-Policy et Permissions-Policy. L’ancien en-tête X-XSS-Protection, lui, ne doit plus être activé : l’OWASP, fondation à but non lucratif consacrée à la sécurité des logiciels, conseille de ne pas l’envoyer ou de le désactiver. Mal réglés, ces en-têtes peuvent casser le site : une Content-Security-Policy trop stricte bloque des scripts légitimes (paiement, carte interactive, formulaire), et l’OWASP prévient qu’un Strict-Transport-Security mal configuré ou un problème de certificat peut empêcher les visiteurs d’accéder au site. Testez-les sur une copie et, pour ce dernier, commencez par une durée courte.

Mots de passe et double authentification

Choisissez des mots de passe longs (une phrase de passe de plusieurs mots convient), différents pour chaque compte, et activez la double authentification (un code en plus du mot de passe) partout où c’est possible. Un gestionnaire de mots de passe rend cela praticable. Protégez en priorité les comptes qui commandent tout : hébergement, registrar du nom de domaine, e-mail (il sert souvent à réinitialiser les autres) et administration du site. N’utilisez jamais les comptes et mots de passe par défaut.

Comptes au moindre privilège

Un compte par personne, jamais de compte partagé. Dans WordPress, le rôle « éditeur » suffit pour modifier les textes ; limitez l’accès administrateur à une ou deux personnes. Supprimez les comptes des anciens employés, stagiaires et prestataires, ainsi que les comptes de test. Remplacez le FTP classique, qui transmet les mots de passe en clair, par une connexion chiffrée (SFTP, ou FTPS selon ce que propose votre hébergeur).

Formulaires et spam

Un formulaire mal protégé est une cible des robots de spam, qui peuvent remplir votre boîte de faux messages. Validez les données côté serveur, ajoutez un champ piège masqué à tous les visiteurs, lecteurs d’écran compris, limitez le nombre d’envois par adresse et le nombre de tentatives de connexion. Un service de vérification anti-robot fourni par un tiers peut déposer des traceurs ou collecter des données de vos visiteurs : vérifiez alors s’il nécessite un consentement, selon les règles expliquées dans le chapitre sur les obligations légales d’un site.

Surveillance

Un service de surveillance vous alerte quand le site ne répond plus. Google Search Console signale les problèmes de sécurité que Google détecte sur vos pages et, une fois ceux-ci corrigés, permet de demander un réexamen.

Combien coûte un contrat de maintenance en Belgique ?

Le prix dépend surtout du nombre de composants à surveiller et de l’enjeu commercial du site. Les montants ci-dessous sont des ordres de grandeur indicatifs au 30 septembre 2026, pas un barème : demandez toujours un devis détaillé.

Pour replacer ces montants dans le budget total d’un site, voyez le chapitre prix d’un site internet et frais annuels. Avant de signer, regardez ce que le contrat ou le devis prévoit sur ces points, selon vos besoins :

• les tâches couvertes et leur fréquence ;
• où sont stockées les sauvegardes, combien de temps, et à quelle fréquence la restauration est testée ;
• ce qui est prévu en cas de panne ou de piratage : délai éventuel, et prise en charge ou chiffrage du nettoyage ;
• les heures de modification incluses et le tarif au-delà ;
• si vous le souhaitez, un compte rendu des mises à jour faites ;
• des comptes (hébergement, domaine) à votre nom, et la remise des accès en fin de contrat.

Je propose aussi la maintenance, y compris pour les sites WordPress existants, à 50 € HTVA de l’heure ou pour un forfait de 500 € HTVA par an : voyez ma page consacrée à la maintenance. Un site vitrine WordPress simple peut aussi être entretenu par vous-même si vous suivez le calendrier ci-dessus avec rigueur.

Votre site est piraté : que faire, dans quel ordre ?

Gardez la tête froide et suivez l’ordre : isoler, sécuriser, évaluer, signaler, réparer. Les étapes suivantes sont un ordre d’action prudent pour un site internet.

1. Ne supprimez rien : faites mettre le site hors ligne ou en maintenance par l’hébergeur, sans effacer les fichiers ni les journaux. Ce sont vos preuves, et ils aident à trouver la faille.
2. Notez l’heure et tenez un journal : si des données personnelles sont touchées, le délai de 72 heures pour notifier l’Autorité de protection des données (APD) court à partir du moment où vous avez connaissance de la violation. Consignez chaque action.
3. Prévenez l’hébergeur et votre prestataire, si ce n’est pas déjà fait : selon les cas, ils peuvent vous aider à mettre le site hors ligne, et parfois fournir des journaux ou des sauvegardes plus anciennes.
4. Changez tous les accès depuis un appareil sain : hébergement, SFTP, base de données, comptes administrateurs, e-mail, nom de domaine. Activez la double authentification et fermez les sessions ouvertes.
5. Évaluez les données touchées : messages des formulaires, comptes clients, commandes, adresses e-mail. S’il s’agit de données personnelles, préparez la notification décrite plus bas.
6. Signalez l’incident : vous pouvez le signaler au Centre pour la Cybersécurité Belgique (CCB), comme expliqué plus bas ; en cas d’extorsion ou de perte d’argent, portez plainte auprès de la police. En règle générale, ne payez pas de rançon.
7. Restaurez une version saine : après avoir conservé une copie complète de l’état piraté (fichiers, base de données, journaux), restaurez une sauvegarde antérieure à l’intrusion, en notant les commandes ou messages reçus depuis, qui seront à reprendre, puis mettez tout à jour avant de remettre en ligne. Supprimez les comptes, fichiers et extensions inconnus.
8. Trouvez et corrigez la faille : extension vulnérable, mot de passe volé, accès d’un ancien prestataire. Sans cela, le pirate peut revenir.
9. Vérifiez l’après : alertes de sécurité dans Google Search Console (et demande de réexamen), pages indexées suspectes, délivrabilité des e-mails (vérifiez SPF, DKIM et DMARC), puis ajustez votre maintenance.

Quand prévenir l’APD, les personnes concernées et le CCB ?

Dès que le piratage touche des données personnelles, le RGPD prévoit trois obligations, dont deux dépendent du niveau de risque.

• Notifier l’APD (article 33) : dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Passé 72 heures, joignez les motifs du retard. La notification se fait sur le portail de l’APD, en français, en néerlandais ou en allemand ; un e-mail n’est pas traité. Elle décrit la nature de la violation, si possible le nombre approximatif de personnes et d’enregistrements concernés, les coordonnées d’un point de contact (délégué à la protection des données ou autre), les conséquences probables et les mesures prises.
• Informer les personnes (article 34) : dans les meilleurs délais, en termes clairs, si le risque est élevé, ce qui peut être le cas par exemple pour des mots de passe, des données bancaires, des documents d’identité ou des données de santé. Ce n’est pas nécessaire si les données étaient chiffrées de façon à être incompréhensibles, ou si vous avez pris des mesures qui écartent ce risque élevé. Si prévenir chaque personne exigerait des efforts disproportionnés, une communication publique la remplace.
• Tout documenter (article 33.5) : chaque violation, même non notifiée, avec ses faits, ses effets et les mesures prises.

Votre hébergeur ou votre prestataire, lorsqu’il agit en tant que sous-traitant, doit vous prévenir dans les meilleurs délais s’il découvre une violation (article 33.2) : vérifiez que votre contrat le prévoit.

Une organisation non soumise à NIS2 peut signaler volontairement au CCB un incident significatif, une cybermenace ou un incident évité (article 38 de la loi du 26 avril 2024, présentée ci-dessous) ; ce signalement ne lui impose pas, en soi, d’obligation supplémentaire. Le CCB reçoit les notifications d’incidents via son formulaire en ligne notif.safeonweb.be. Pour les entités soumises à NIS2, la notification de leurs incidents significatifs est une obligation. Les e-mails d’hameçonnage reçus se transfèrent à suspect@safeonweb.be.

La loi NIS2 concerne-t-elle votre site ?

En principe, non. La loi du 26 avril 2024, qui transpose la directive NIS2 et est en vigueur depuis le 18 octobre 2024, vise les organisations établies en Belgique qui fournissent un service listé dans ses annexes (énergie, transport, santé, infrastructures numériques, fabrication…) et qui sont au moins de taille moyenne au sens de la recommandation européenne 2003/361 : en règle générale, au moins 50 équivalents temps plein, ou un chiffre d’affaires annuel et un total de bilan tous deux supérieurs à 10 millions €. Certaines entités y sont soumises quelle que soit leur taille, notamment : fournisseurs de services DNS, registres de noms de domaine de premier niveau (comme DNS Belgium pour le .be), prestataires de services de confiance, fournisseurs de réseaux et de services de communications électroniques publics. Un indépendant ou une PME n’en fait pas partie du seul fait d’avoir un site. Un client soumis à NIS2 peut toutefois vous demander des garanties de sécurité par contrat, au titre de la sécurité de sa chaîne d’approvisionnement.

La checklist de sécurité

• CMS, extensions et thème à jour ; extensions inutilisées ou abandonnées supprimées, après une sauvegarde.
• Version de PHP encore corrigée (8.3 ou plus récente pour tenir au-delà de 2026).
• Sauvegardes automatiques quotidiennes, dont une copie hors de l’hébergeur, et plusieurs semaines d’historique.
• Restauration testée ce trimestre.
• HTTPS partout, certificat renouvelé automatiquement, alerte d’expiration en place.
• En-têtes de sécurité configurés.
• Mots de passe longs et uniques, et double authentification sur l’hébergement, le domaine, l’e-mail et l’administration.
• Un compte par personne, droits minimaux, anciens comptes supprimés, connexion chiffrée (SFTP ou FTPS) au lieu du FTP classique.
• Formulaires protégés contre le spam et testés ce mois-ci ; tentatives de connexion limitées.
• Surveillance de disponibilité et Google Search Console actives.
• Comptes d’hébergement et de nom de domaine à votre nom, accès rangés dans un gestionnaire de mots de passe.
• Contrat de sous-traitance qui oblige l’hébergeur et le prestataire à vous prévenir d’une violation.
• Procédure écrite en cas de piratage : qui appeler, où notifier (APD, CCB), où sont les sauvegardes.