Personne ne vous a choisi. Un robot a trouvé une faille connue dans un logiciel que vous avez cessé de mettre à jour, et il a pris votre site comme ressource, exactement comme il en a pris quatre mille autres cette semaine-là.
Ça change tout à la suite des choses. Vous ne vous défendez pas contre quelqu'un qui vous en veut. Vous gardez fermée une porte qu'une machine vient essayer tous les deux jours.
Qui aurait envie de pirater mon site ?
Rien à voir avec votre entreprise. C'est votre serveur et votre nom de domaine qui intéressent.
Un site compromis en silence fait généralement l'une de quatre choses. Il envoie du pourriel depuis votre serveur, ce qui est du timbre gratuit pour quelqu'un d'autre et une réputation d'expéditeur ruinée pour vous. Il héberge des pages de liens douteux qui n'ont rien à voir avec vous, pour qu'un autre site se positionne. Il redirige les visiteurs sur téléphone ailleurs pendant que votre navigateur d'ordinateur affiche la page d'accueil normale, et c'est souvent pour ça que le propriétaire ne voit rien lui-même. Ou, si vous encaissez des paiements sur votre propre caisse, il lit tranquillement ce que les gens tapent dans les champs de carte.
Rien là-dedans n'exige que vous soyez gros ou intéressant. Il faut seulement que vous soyez joignable et périmé.
Comment l'apprendrez-vous ?
Presque toujours par quelqu'un d'autre, et plus tard que vous le voudriez.
Un client appelle et dit que votre site lui affiche un avertissement rouge. Cet écran n'est pas votre hébergeur qui dramatise. Lorsque Google détermine qu'un site a été compromis, les pages touchées peuvent apparaître avec une étiquette d'avertissement dans les résultats de recherche ou une page d'avertissement intercalaire dans le navigateur, comme l'explique l'aide de Google Search Console au sujet du rapport « Problèmes de sécurité ». Pour la personne qui essayait de réserver chez vous, cet écran dit que votre entreprise est dangereuse.
Ou votre hébergeur suspend le compte. Les hébergeurs réagissent vite au pourriel sortant, parce que c'est la réputation de leurs propres adresses IP qui est en jeu, et vous l'apprenez souvent alors que le site est déjà hors ligne.
Le seul canal qui vous prévient tôt, c'est justement ce rapport, dans Google Search Console. C'est gratuit, la vérification du domaine prend une avant-midi, et la plupart des petits sites que nous regardons ne l'ont jamais configuré. Si vous ne faites qu'une seule chose après cette lecture, faites celle-là.
Combien ça coûte réellement ?
Le nettoyage est rarement la partie chère.
La partie chère, ce sont les journées. Votre site est hors ligne ou signalé le temps que ça se règle, et ça tombe quand ça tombe, souvent la semaine où vous aviez lancé quelque chose. Votre livraison de courriels encaisse le coup du pourriel parti sous votre domaine, alors pendant un moment vos messages ordinaires atterrissent dans les indésirables. Si vos formulaires étaient déjà capricieux, ça empire, et les courriels de formulaire qui n'arrivent jamais deviennent un problème que vous ne pouvez plus distinguer de celui-ci.
Il y a ensuite le côté recherche. L'avertissement peut être réexaminé et levé, mais les pages de camelote indexées sous votre domaine ne disparaissent pas parce que vous avez supprimé les fichiers. Ce ménage-là est plus lent que celui du serveur.
Et si vous encaissez des paiements par carte sur votre propre caisse, il y a une conversation que vous ne voulez pas avoir : dire à vos clients que vous ne pouvez pas affirmer avec certitude ce qui a été capté pendant que le site était compromis. C'est le scénario qui justifie de dépenser du vrai argent pour l'éviter.
Pourquoi ces sites se font-ils avoir ?
Trois portes bien ordinaires, à peu près dans cet ordre.
Des logiciels que personne n'a mis à jour. Extensions, thèmes et cœur de la plateforme. Les vulnérabilités sont publiées, c'est ainsi que le correctif se diffuse, et la même publication indique à tous les robots exactement quoi chercher. Un site non corrigé ne se cache pas. Il annonce un numéro de version.
Les accès. Un seul compte administrateur, un mot de passe réutilisé ailleurs, aucune double authentification. Rien de sophistiqué n'est nécessaire.
Ce qui reste installé sans servir. L'extension de réservation essayée un mois, l'ancien thème resté à côté du thème actif, la copie de test sur un sous-domaine oublié. Désactivé n'est pas désinstallé, et du code inutilisé s'exécute quand même si on le lui demande.
Le fil conducteur n'est pas la négligence. C'est que plus personne n'est propriétaire du site. La personne qui l'a construit est passée à autre chose, l'accès dort dans un fil de courriels d'il y a deux ans, et il n'existe aucun mois où le mettre à jour est la tâche de quelqu'un. Si vous ne savez pas qui détient les clés, à qui appartient votre site web est la première chose à clarifier.
Les sauvegardes vous sauvent-elles ?
Seulement si elles sont récentes, conservées ailleurs que sur le site, et testées.
Trois façons de se planter, que nous avons toutes vues. La sauvegarde vit sur le même compte d'hébergement, donc quand le compte est suspendu ou vidé, elle part avec. La sauvegarde existe mais personne n'en a jamais restauré une, et le jour où vous en avez besoin vous découvrez qu'elle échouait en silence depuis des mois. Ou la restauration fonctionne parfaitement et remet en place le logiciel non corrigé qui les a laissés entrer, alors vous recommencerez la semaine suivante.
Une sauvegarde est un retour en arrière, pas un correctif. On restaure, puis on met à jour, puis on change tous les mots de passe, et seulement là on demande à Google de réexaminer l'avertissement.
Une plateforme hébergée est-elle plus sûre ?
Oui, de façon significative, et ça mérite d'être dit clairement parce que ça influence ce que vous construisez.
Sur Shopify ou une plateforme hébergée comparable, le serveur et l'application de base sont l'affaire de quelqu'un d'autre, et c'est justement par cette couche que la plupart des petits sites se font avoir. Votre exposition se déplace vers les applications installées, les comptes d'employés distribués et le code sur mesure du thème. Surface plus petite, pas nulle. Le reste des compromis est traité dans Shopify, Wix ou du sur-mesure.
Un site auto-hébergé peut être tout aussi sûr. Il ne le reste simplement pas tout seul.
Que demande concrètement l'entretien ?
Moins que ce que les gens imaginent, mais ça doit suivre un calendrier plutôt que la mémoire de quelqu'un.
Des mises à jour appliquées puis vérifiées, parce qu'une mise à jour qui casse discrètement votre formulaire de réservation est une panne à elle seule. Des sauvegardes hors du serveur, et une restauration réellement testée. La double authentification sur chaque compte administrateur, et aucun accès partagé. Tout ce qui ne sert pas supprimé plutôt que désactivé. Search Console branché, pour que le rapport de sécurité ait où crier. La disponibilité surveillée, pour apprendre que le site est tombé avant qu'un client vous l'apprenne.
C'est exactement ce qu'est notre forfait d'entretien, et il démarre à 129 $ par mois puis s'ajuste à la taille du site. Le détail de ce qu'il contient est sur tarifs, et la question plus large de ce qu'un site coûte à garder en vie sur une année est dans ce qu'un site web coûte par année. Que ce soit nous, votre développeur ou un rappel récurrent dans votre propre agenda importe bien moins que le fait que quelqu'un s'en occupe.
Pour savoir où en est votre site aujourd'hui, envoyez-nous l'adresse pour une analyse gratuite. Nous vous dirons ce qu'il fait tourner, ce qui est visiblement périmé et si Google signale déjà quelque chose, que vous travailliez avec nous ou non.