Un site piraté, ce n'est pas forcément un site "attaqué" par quelqu'un qui vous en veut. Dans 9 cas sur 10, c'est un robot qui scanne des millions de sites à la recherche d'une faille connue : un plugin non mis à jour, un mot de passe faible, un formulaire mal protégé. Le site tombe parce qu'il était accessible, pas parce qu'il était visé. Bonne nouvelle : la plupart des failles exploitées se bouchent avec des mesures simples, peu coûteuses, et qui ne demandent aucune compétence technique de votre part une fois mises en place.
Le HTTPS n'est pas une option
Si votre site affiche encore "Non sécurisé" dans la barre d'adresse en 2026, vous perdez des visiteurs et du référencement en même temps. Le certificat SSL (le fameux cadenas) chiffre les échanges entre le visiteur et votre serveur : sans lui, un mot de passe tapé sur votre site ou un numéro de carte bancaire peut théoriquement être intercepté. Un certificat basique (Let's Encrypt) est gratuit et se renouvelle automatiquement chez un hébergeur sérieux. Il n'y a aucune raison de s'en passer, même pour un site vitrine sans formulaire de paiement.
Les mots de passe et accès administrateur
La faille la plus bête reste la plus fréquente : un mot de passe admin du type "azerty2024" ou l'identifiant "admin" laissé par défaut. Quelques règles non négociables :
- Un mot de passe d'au moins 16 caractères, généré aléatoirement, jamais réutilisé ailleurs
- Un gestionnaire de mots de passe (1Password, Bitwarden) plutôt qu'un post-it ou un fichier Excel
- La double authentification (2FA) activée sur l'accès admin dès que la plateforme le permet
- Un identifiant de connexion différent de "admin" ou de votre nom affiché publiquement
Sur WordPress, la limitation des tentatives de connexion (via un plugin de sécurité ou une règle serveur) bloque les attaques par force brute, où un robot teste des milliers de combinaisons par minute.
Les mises à jour, encore et toujours
CMS, plugins, thèmes, extensions : chaque brique logicielle non mise à jour est une porte potentiellement ouverte. On détaille le sujet en profondeur ailleurs, mais retenez ceci : une faille publiée publiquement (dans un correctif de sécurité) devient une cible en quelques heures pour les robots qui scannent le web. Un site à jour ferme la porte avant que le robot ne passe.
L'hébergement, un maillon trop souvent négligé
Un hébergeur mutualisé à 3 euros par mois, sans pare-feu applicatif (WAF), sans isolation entre les sites du même serveur, expose votre projet à des risques qui ne dépendent même pas de vous : si un site voisin sur le même serveur est compromis, le vôtre peut être contaminé par rebond. Pour un site professionnel avec du trafic réel, un hébergement avec pare-feu applicatif, sauvegardes automatiques et isolation correcte coûte en général entre 15 et 60 euros par mois selon le trafic, contre un risque de perte totale du site en cas de piratage.
Les formulaires, porte d'entrée classique du spam et des injections
Un formulaire de contact sans protection anti-spam (captcha invisible, honeypot) devient vite un relais pour l'envoi de spam ou pire, une porte pour des tentatives d'injection de code. Un formulaire bien construit valide les champs côté serveur, pas seulement côté navigateur, et limite le nombre de soumissions par adresse IP.
Ce qu'on recommande concrètement
Si vous devez prioriser avec un budget limité, dans l'ordre : certificat HTTPS actif et à jour, mots de passe forts avec 2FA sur tous les accès admin, hébergement avec pare-feu applicatif, mises à jour automatiques ou suivies mensuellement, sauvegardes quotidiennes externalisées. Ces cinq points couvrent l'écrasante majorité des piratages qu'on observe sur des sites de TPE et PME. Si votre site date de plus de trois ans et que personne n'a vérifié ces points depuis sa mise en ligne, c'est probablement le moment de le faire auditer. On propose un diagnostic de sécurité dans nos prestations de maintenance et sécurité, et si le site a besoin d'une remise à plat plus large, une refonte de site est parfois plus rentable qu'un rafistolage permanent.