Un site internet ne tombe pas en panne d'un coup. Il s'use en silence : une extension qui n'a plus été mise à jour depuis un an, un certificat qui expire un dimanche, des horaires d'été restés en ligne jusqu'en décembre. Rien de tout ça ne se voit le jour de la mise en ligne. Voici ce qu'il faut surveiller ensuite, ce qui protège vraiment un petit site, et ce qu'il faut demander à un hébergeur.
Qu'est-ce qui s'use sur un site une fois en ligne ?
Le logiciel du site et ses extensions
La plupart des sites de TPE tournent sur un CMS, c'est-à-dire un logiciel qui permet de modifier les pages sans toucher au code (WordPress est le plus connu). Ce logiciel reçoit des mises à jour, ses extensions aussi : formulaire de contact, galerie photo, module de réservation. Une partie de ces mises à jour corrige des failles de sécurité. Un site qu'on ne met plus à jour garde ces failles ouvertes, et les robots qui parcourent le web à la recherche de versions vulnérables ne font aucune différence entre le site d'une grande enseigne et celui d'un plombier.
Je conseille aussi de supprimer les extensions qui ne servent plus. Désactivée mais toujours installée, une extension reste du code présent sur le serveur.
Le certificat HTTPS
C'est lui qui affiche le cadenas dans la barre d'adresse et qui chiffre ce qui circule entre le visiteur et le site, par exemple le contenu d'un formulaire. Un certificat a une date d'expiration, et cette durée raccourcit : le CA/Browser Forum, qui fixe les règles du secteur, a voté une réduction progressive de la durée maximale de validité, de 398 jours à 47 jours, entre mars 2026 et mars 2029. À ce rythme, un renouvellement à la main n'a plus de sens. Il doit être automatique, et quelqu'un doit s'apercevoir quand il ne l'est pas : un certificat expiré, c'est une page d'avertissement du navigateur qui s'affiche avant votre site.
Le nom de domaine
On ne l'achète pas une fois pour toutes. On l'enregistre pour une durée, souvent un an, et il faut le renouveler. Pour un .fr, l'Afnic prévoit une période de rédemption de 30 jours après la suppression d'un nom : passé ce délai, il redevient libre et n'importe qui peut l'enregistrer. Deux choses à vérifier : que le domaine est bien enregistré à votre nom, et pas à celui d'un ancien prestataire, et que l'adresse mail de contact chez le bureau d'enregistrement est une adresse que vous lisez encore. Le choix de l'extension, lui, est détaillé dans l'article sur le nom de domaine en .fr ou en .com.
Les contenus
C'est ce qui vieillit le plus vite, et ce que les visiteurs remarquent en premier. Les horaires qui changent l'été, un tarif qui a bougé, une prestation que vous ne faites plus, la photo d'équipe d'il y a six ans, un numéro de portable abandonné. Pour un restaurant de Montauban qui ferme désormais le lundi, une page qui affiche encore "ouvert 7 jours sur 7" fait perdre des clients sans que personne ne vienne s'en plaindre. Quand je relis un site, je vérifie aussi qu'il dit la même chose que la fiche Google : mêmes horaires, même numéro, même adresse.
Comment sécuriser un petit site sans service informatique ?
La plupart des piratages de petits sites passent par des portes qu'on peut fermer soi-même. Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes, donne des consignes simples, et ce sont celles que j'applique :
- Un mot de passe différent pour chaque compte, d'au moins 12 signes mélangeant majuscules, minuscules, chiffres et caractères spéciaux. Un gestionnaire de mots de passe évite d'avoir à les retenir.
- La double authentification partout où elle existe : l'administration du site, le compte chez l'hébergeur, le bureau d'enregistrement du domaine, et d'abord la messagerie. C'est par l'adresse mail qu'on réinitialise tous les autres mots de passe : qui prend la main sur votre boîte prend la main sur le reste.
- Des sauvegardes régulières, avec une copie conservée ailleurs que sur le serveur du site.
- Les mises à jour appliquées, pour le CMS, les extensions et le thème.
- Des comptes administrateurs tenus à jour. L'ancien stagiaire, l'agence d'il y a trois ans ou le cousin qui avait installé le site n'ont plus besoin d'un accès.
Sur les sauvegardes, cybermalveillance.gouv.fr insiste sur un point que presque tout le monde oublie : vérifier régulièrement que la restauration fonctionne. Une sauvegarde qu'on n'a jamais essayé de remettre en place, on ne sait pas si elle marche. Le jour où on en a besoin, il est trop tard pour le découvrir.
Que faire si votre site a été piraté ?
Page d'accueil remplacée par un message étranger, redirection vers un site douteux, alerte de l'hébergeur : le premier réflexe est de ne pas tout effacer dans la précipitation. La fiche de cybermalveillance.gouv.fr sur la défiguration de site internet donne l'ordre des opérations :
- Isoler le site si c'est possible, en le mettant hors ligne ou en demandant à l'hébergeur de le faire.
- Conserver les preuves : captures d'écran, journaux de connexion, et une copie complète du site dans son état piraté.
- Prévenir l'hébergeur.
- Corriger la faille et changer tous les mots de passe.
- Porter plainte.
- Si des données personnelles ont pu être touchées, comme les messages reçus par le formulaire de contact, la fiche indique de notifier la CNIL.
Le site propose aussi un diagnostic en ligne et une mise en relation avec des professionnels qui peuvent intervenir. Si vous ne savez pas par où commencer, c'est là que j'irais en premier. Et c'est à ce moment qu'une sauvegarde testée change tout : une fois la faille corrigée, on remet en place une version saine du site au lieu de tout reconstruire.
Hébergement : qu'est-ce qui compte pour un site vitrine ?
L'hébergeur, c'est l'entreprise dont le serveur fait tourner votre site. Le site vitrine d'un artisan de Castelsarrasin ou d'un commerce du centre de Montauban, quelques pages consultées surtout par des gens du coin, ne demande pas une grosse machine. Ce qui compte, ce sont les questions qu'on oublie de poser en choisissant :
- Dans quel pays sont stockées les données ? Pour un site qui reçoit des messages par formulaire, ça mérite d'être su. La CNIL explique sur son site les règles qui encadrent les transferts hors de l'Union européenne.
- Les sauvegardes sont-elles incluses ? À quelle fréquence, combien de temps sont-elles gardées, et qui les restaure ? Une sauvegarde chez l'hébergeur protège d'une erreur de manipulation, moins d'un incident chez l'hébergeur lui-même. D'où la copie ailleurs.
- Le certificat HTTPS est-il fourni et renouvelé automatiquement ?
- Le support répond-il en français, par quel moyen, et dans quel délai ? Le jour où le site ne s'affiche plus, c'est la seule question qui compte.
- Les accès sont-ils à votre nom ? Comme pour le domaine, si le compte appartient à un prestataire, demandez au moins les identifiants ou une copie complète du site.
Regardez aussi le tarif au renouvellement : il n'est pas toujours celui de la première année.
Le faire soi-même ou le confier ?
Ça dépend de votre temps et de votre aisance. Un commerçant à l'aise avec l'informatique peut très bien tenir son site seul : un passage par mois pour les mises à jour et la relecture des contenus, un test de restauration de temps en temps, une alerte dans l'agenda avant l'échéance du domaine. Ce qui pose problème, c'est rarement la difficulté. C'est l'oubli : le site marche, on a autre chose à faire, et un an passe. J'ai détaillé ce qui change entre les deux approches dans l'article sur faire son site soi-même ou le confier.
Si vous confiez l'entretien, demandez par écrit ce qui est compris : mises à jour, sauvegardes et tests de restauration, renouvellement du domaine et du certificat, modifications de contenu, délai de réponse en cas de panne, et à qui appartiennent les accès. Un site trop ancien pour être mis à jour sans tout casser relève d'une autre décision, et les signes qu'il est temps de refaire son site aident à trancher. Pour ma part, ce que je prends en charge après la mise en ligne est décrit sur la page de l'offre.
Par où commencer
Prenez un quart d'heure cette semaine. Regardez la date d'échéance de votre nom de domaine et le nom de son titulaire, cliquez sur le cadenas pour voir jusqu'à quand le certificat est valable, demandez la date de la dernière sauvegarde, puis relisez vos horaires et vos tarifs comme le ferait un client. Si la double authentification n'est pas activée sur votre messagerie, commencez par là.
Je crée des sites pour les entreprises de Montauban et du Tarn-et-Garonne, et je m'occupe aussi de ce qui se passe après la mise en ligne. Pour en discuter, tout passe par la page contact.
