Sécurité de site web pour PME : HTTPS, sauvegardes, mises à jour

« On est trop petits pour intéresser des pirates. » C'est la phrase qu'on entend le plus souvent quand on aborde la sécurité avec un client, et elle repose sur une image fausse : celle d'un humain qui choisit sa cible, étudie l'entreprise, puis attaque. Dans nos services web, la question n'est jamais « qui voudrait nous attaquer », c'est « qu'est-ce qui répond quand un programme frappe à la porte ».

Parce que ce qui frappe à la porte, c'est un programme. Des robots parcourent le web en continu, repèrent les extensions vulnérables et essaient des mots de passe. Ils ne savent pas ce que vous vendez et ils s'en fichent. Sucuri, qui nettoie des sites compromis à longueur d'année, le formule sans détour : les attaquants utilisent des scripts automatisés pour balayer Internet à la recherche de sites vulnérables, et ces attaques opportunistes exploitent les faiblesses connues.

La distinction change ce qu'il faut faire, et surtout ce qu'il ne sert à rien de faire. Voici les mesures qui arrêtent réellement le trafic automatisé, et le volet juridique que beaucoup de dirigeants québécois ignorent.

La réponse courte, pour les pressés

La sécurité d'un site de PME se joue contre des programmes automatisés, pas contre des pirates qui vous auraient choisi. Des robots balaient le web en continu à la recherche d'une extension périmée ou d'un mot de passe faible, et votre serveur les intéresse pour ce qu'il est : une machine réputée honnête, utile pour héberger des pages de pourriel, rediriger vos visiteurs vers des sites frauduleux et relayer des courriels. Cinq mesures arrêtent la grande majorité de ces attaques : HTTPS partout, mises à jour appliquées vite (Patchstack mesure une médiane de cinq heures avant la première exploitation d'une faille WordPress), comptes limités au minimum de privilèges avec double authentification, sauvegardes hors ligne dont la restauration a déjà été testée, et protection des formulaires. Au Québec, s'en occuper n'est pas facultatif : l'article 10 de la Loi sur la protection des renseignements personnels dans le secteur privé oblige toute entreprise à prendre des mesures de sécurité raisonnables pour protéger les renseignements personnels qu'elle détient.

Vous n'êtes pas visé, vous êtes balayé

Les chiffres bruts font le meilleur argument. Dans son rapport annuel sur 2024, Wordfence indique avoir enregistré plus de 54 milliards de requêtes malveillantes, provenant de 209 millions d'adresses IP distinctes, et bloqué plus de 55 milliards de tentatives liées aux mots de passe. Aucune décision humaine ne se cache derrière ces chiffres : on tire sur tout, et ce qui tombe est ramassé.

Une PME de douze employés reçoit donc le même traitement qu'une entreprise de 500 personnes. Personne ne vous porte plus ou moins d'attention ; ce qui diffère, c'est ce qui répond. Un site à jour renvoie une erreur et le robot passe au suivant en quelques millisecondes. Un site avec une extension abandonnée depuis deux ans, lui, est compromis avant que quiconque ait remarqué la visite.

Vous n'avez donc pas besoin d'un dispositif de sécurité d'entreprise. Vous avez besoin de ne pas être le site qui répond.

Ce que votre serveur vaut pour un robot

Deuxième idée reçue : « on n'a rien à voler ». Le butin, la plupart du temps, n'est pas vos données, c'est votre serveur et la réputation de votre domaine.

Un site compromis sert surtout à trois choses. Héberger du pourriel de référencement : Sucuri en a détecté sur 20,30 % des sites infectés qu'elle a traités en 2023, souvent des liens dissimulés vers des sites de jeu. Rediriger vos visiteurs vers de l'hameçonnage. Et garder un accès de secours : 49,21 % des sites compromis contenaient au moins une porte dérobée, et 55 % des sites à base de données infectée hébergeaient un compte administrateur malveillant, créé pour reprendre le contrôle après le nettoyage.

Ces infections sont en plus conçues pour rester invisibles. Le rapport 2026 de Patchstack, qui intègre les données de détection serveur de Monarx, décrit des campagnes qui trient les visiteurs : les robots des moteurs de recherche reçoivent des pages bourrées de mots-clés, les humains sont redirigés vers des sites frauduleux, et le propriétaire du site voit du contenu propre. La compromission se découvre donc quand le positionnement dans Google s'effondre, c'est-à-dire longtemps après.

HTTPS : le plancher, et bientôt une condition d'accès

HTTPS est devenu le niveau du sol : les certificats sont gratuits et automatisés chez tous les hébergeurs sérieux, ce qui règle la question du coût (on a détaillé ce que couvre vraiment une facture d'hébergement web ailleurs). Ce qui change en 2026, c'est le comportement des navigateurs. Google a annoncé le 28 octobre 2025 que Chrome activerait par défaut le réglage « Toujours utiliser des connexions sécurisées » avec Chrome 154, en octobre 2026 : il demandera l'autorisation de l'utilisateur avant le premier accès à un site public sans HTTPS. L'étape précédente arrive plus tôt : dès Chrome 147, en avril 2026, pour le milliard et plus d'utilisateurs de la protection renforcée. Si une de vos anciennes URL redirige encore par du HTTP, une partie de vos visiteurs verra un avertissement avant d'arriver chez vous.

Les mises à jour : une fenêtre qui se compte en heures

C'est le point où la plupart des PME perdent, et la raison est un malentendu sur le délai disponible. Patchstack, dont les données ont été mises à jour le 25 février 2026, a mesuré le temps entre la divulgation publique d'une faille WordPress et la première tentative d'exploitation observée : environ la moitié des vulnérabilités à fort impact sont exploitées dans les 24 heures, et la médiane pondérée est de cinq heures. Le correctif publié est aussi le signal de départ pour les attaquants, qui savent désormais exactement quoi chercher. Sur les 11 334 vulnérabilités recensées dans l'écosystème WordPress en 2025, 1 966 (17 %) avaient une cote de gravité élevée et étaient donc susceptibles d'être exploitées dans des attaques automatisées à grande échelle.

Et non, votre hébergeur ne vous couvre pas. Patchstack a mené en 2025 deux tests d'intrusion contre les défenses courantes (pare-feu applicatifs internes des hébergeurs, Cloudflare, suites de sécurité) : elles bloquaient 12 % des attaques exploitant des vulnérabilités propres à WordPress dans le premier test, 26 % du total dans le second, au périmètre élargi. Le pare-feu achète du temps, il ne remplace pas la mise à jour.

C'est ici que sécurité et maintenance de site web se rejoignent sans se confondre. La maintenance lutte contre l'usure : un certificat qui expire, un formulaire qui cesse d'envoyer. La sécurité lutte contre quelqu'un. L'usure ne s'accélère pas quand vous ne regardez pas ; un adversaire, oui.

Les comptes et les formulaires : la porte d'en avant

Les 55 milliards de tentatives sur mots de passe comptées par Wordfence rappellent que la voie la plus simple reste d'entrer par la porte. L'équipe note d'ailleurs que la compromission des identifiants du compte d'hébergement est une source d'intrusion fréquente parmi les sites qu'elle nettoie.

D'abord, le moindre privilège : la personne qui publie des billets de blogue n'a pas besoin d'un compte administrateur, et l'agence qui a fait le site il y a quatre ans n'a plus besoin d'accès du tout. Ensuite, la double authentification sur tous les comptes qui en disposent (site, hébergeur, registraire de domaine, boîte courriel). L'étude de Microsoft publiée en 2023 sur des comptes Azure Active Directory à activité suspecte a mesuré une réduction du risque de compromission de 99,22 % avec l'authentification multifacteur, et de 98,56 % dans les cas de fuite d'identifiants connue : c'est le meilleur rapport effort-résultat de toute cette liste. Enfin, la protection des formulaires, la seule porte que vous ouvrez volontairement : limitation du débit, champ piège invisible, validation côté serveur. Un formulaire non protégé finit par servir de relais à pourriel, et c'est votre domaine qui se retrouve sur les listes de blocage.

Les sauvegardes : celles qu'on n'a jamais restaurées ne comptent pas

Tout le monde a des sauvegardes. Presque personne n'a vérifié qu'elles se restaurent. Le Centre canadien pour la cybersécurité est explicite là-dessus dans ses contrôles de cybersécurité de base pour les petites et moyennes organisations : les organisations devraient avoir des procédures claires de rétablissement à partir des sauvegardes et vérifier régulièrement le fonctionnement des mécanismes de sauvegarde et de restauration. Son contrôle BC.7.2 ajoute que les copies à long terme doivent être stockées hors ligne, les copies quotidiennes pouvant rester en ligne.

Deux erreurs annulent tout le bénéfice. La sauvegarde stockée sur le même serveur que le site, qui disparaît avec lui. Et la sauvegarde qu'on restaure sans réfléchir après une infection : si la porte dérobée était déjà dans l'archive, vous venez de réinstaller l'attaquant avec votre contenu. D'où l'utilité de garder plusieurs points de restauration échelonnés.

L'article 10 de la Loi 25 en fait une obligation

Au Québec, la sécurité d'un site qui recueille des renseignements personnels (un formulaire de contact suffit) relève aussi du droit. L'article 10 de la Loi sur la protection des renseignements personnels dans le secteur privé est court : toute personne qui exploite une entreprise doit prendre des mesures de sécurité propres à protéger ces renseignements, raisonnables compte tenu notamment de leur sensibilité, de leur quantité, de leur répartition et de leur support.

Le manquement est sanctionné explicitement. L'article 90.1 permet à la Commission d'accès à l'information d'imposer une sanction administrative pécuniaire à qui ne prend pas les mesures de sécurité conformes à l'article 10, jusqu'à 10 000 000 $ ou 2 % du chiffre d'affaires mondial (article 90.12), et l'article 91 en fait une infraction pénale passible de 15 000 $ à 25 000 000 $ ou 4 %. Soyons honnêtes : aucune PME québécoise ne recevra 10 M$ d'amende pour une extension périmée. Le coût réaliste est ailleurs, dans les obligations qui suivent l'incident : aviser la Commission et les personnes concernées en cas de risque de préjudice sérieux (article 3.5) et tenir un registre des incidents de confidentialité (article 3.8), que la Commission peut réclamer. Notre article sur la Loi 25 et votre site web couvre le volet témoins et formulaires.

Rien de tout ça ne demande un budget de grande entreprise. HTTPS est gratuit, la double authentification aussi, retirer trois comptes inutiles prend dix minutes, tester une restauration une heure par trimestre. Ce qui coûte cher, c'est de découvrir six mois trop tard que votre domaine héberge des pages de pourriel.

→ Demandez un audit de votre site

Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions ; il ne constitue pas un avis juridique. Le texte de la Loi sur la protection des renseignements personnels dans le secteur privé et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.