Article rédigé par
⏱️ Temps de lecture :
Un jour, j’étais tranquillement en train de travailler sur un tout autre sujet — une amélioration de référencement sur l’un des sites que je gère — quand quelque chose a attiré mon œil. Des comptes d’administration que je ne reconnaissais pas. Je ne les avais pas créés, ils n’avaient rien à faire là. En creusant, le constat est tombé : le site était attaqué. Pas « allait l’être », ne « risquait » pas de l’être. Il l’était, déjà, depuis un moment.
Le plus troublant n’est pas l’attaque en elle-même. C’est que, vue de l’extérieur, elle était invisible. Le site s’affichait normalement, les visiteurs ne voyaient rien d’anormal, et pourtant des intrus s’y étaient installés en silence. Si je n’étais pas tombé dessus un peu par hasard, j’aurais pu mettre des semaines de plus à m’en apercevoir.
Je vous raconte cette histoire non pas pour vous faire peur, mais parce qu’elle m’a confirmé — et affiné — une conviction sur ce qu’est vraiment la sécurité d’un site. Ce n’est pas un logiciel qu’on installe une fois pour être « protégé ». C’est un entretien, une surveillance, une vigilance dans la durée. Voici ce que j’en ai tiré, et les questions concrètes que ça devrait vous amener à vous poser pour votre propre site.
Dans cet article
La vraie nature d’une attaque : des robots, pas des pirates qui vous visent
Première chose à comprendre, et elle est plutôt rassurante : dans l’immense majorité des cas, personne ne vous en veut personnellement.
On imagine un pirate penché sur son écran, qui aurait choisi votre site pour une raison précise. La réalité est plus mécanique, et moins flatteuse pour notre ego : ce sont des robots qui balaient Internet en permanence, à la recherche de sites qui présentent une faiblesse connue. Ils ne savent pas qui vous êtes, ni ce que vous vendez. Ils testent des millions d’adresses à la chaîne, et quand ils trouvent une porte mal fermée, ils entrent. C’est tout.
Concrètement, dès qu’une faiblesse est découverte dans un logiciel très répandu — et qu’un correctif est publié —, ces robots se précipitent pour exploiter tous les sites qui n’ont pas encore appliqué la mise à jour. La fenêtre peut être très courte : parfois quelques jours seulement entre la découverte du problème et les premières attaques. C’est une course de vitesse silencieuse, et la plupart des gens ne savent même pas qu’elle a lieu.
✅ La bonne nouvelle
Si vous n’êtes pas une cible choisie mais une porte parmi des millions testées, alors la protection ne consiste pas à devenir « invisible » ou « inattaquable ». Elle consiste à ne pas être la porte restée ouverte — c’est-à-dire à tenir son site à jour. C’est à la portée de tout le monde, à condition que quelqu’un s’en occupe vraiment.
Le plus dangereux : une attaque ne se voit pas
Voici le point qui m’a le plus marqué, et celui que je veux vraiment que vous reteniez. Un site peut être compromis sans que rien ne se voie.
On s’imagine qu’un site piraté, c’est forcément une page barrée d’un message menaçant, ou un site qui ne s’ouvre plus. Parfois, oui. Mais souvent, non. Dans le cas que j’ai vécu, le site fonctionnait parfaitement : il s’affichait, les pages se chargeaient, un visiteur n’aurait rien soupçonné. Les intrus, eux, étaient bien là, installés discrètement, à attendre. Le genre de présence qu’on garde « pour revenir plus tard ».
C’est précisément ce qui rend l’affaire sérieuse. Un problème visible, on le traite tout de suite parce qu’il saute aux yeux. Un problème invisible peut durer des semaines, voire des mois, pendant lesquels votre site travaille à votre insu pour quelqu’un d’autre — envoi de courriers indésirables, pages cachées, redirections. Et plus ça dure, plus les dégâts sont difficiles à défaire, et plus votre réputation auprès de Google peut en souffrir.
⚠️ Le piège
« Mon site s’affiche normalement, donc tout va bien. » Non. L’apparence d’un site ne dit rien de sa santé réelle. Un site peut être parfaitement fonctionnel en façade et compromis en coulisses. C’est justement parce que ça ne se voit pas qu’il faut regarder — régulièrement, et au bon endroit.
La leçon : un site se surveille, il ne se « pose » pas
Si je devais résumer ce que cette histoire m’a appris en une phrase : un site internet n’est pas un objet qu’on installe une fois et qu’on oublie. C’est quelque chose de vivant, qui demande de l’entretien et de la surveillance — exactement comme une voiture qu’on révise, ou un local qu’on ferme à clé chaque soir.
Je veux être honnête avec vous sur un point, parce qu’il est important. Cette attaque ne m’a pas fait découvrir qu’il fallait surveiller : je surveillais déjà les sites dont je m’occupe. Ce qu’elle m’a appris, c’est autre chose, et c’est plus subtil.
Surveiller n’empêche pas tout — mais change tout
Première vérité, qui désarme la culpabilité : même en surveillant, même en étant sérieux, on peut être touché. La faiblesse exploitée chez moi l’a été dans une fenêtre de temps très courte, avant même que la mise à jour n’ait pu se faire. Ce n’était pas de la négligence. Personne n’est « inattaquable », et quiconque vous promet une sécurité à 100 % vous ment.
Deuxième vérité, qui donne tout son sens à la surveillance : c’est justement parce que je surveillais que j’ai pu voir et réagir. Une attaque invisible ne se détecte pas toute seule. Il faut regarder, savoir où regarder, et le faire régulièrement. La surveillance n’empêche pas 100 % des intrusions, mais elle fait toute la différence sur ce qui compte vraiment : le temps que met un problème à être repéré et corrigé. Entre un site surveillé et un site laissé à lui-même, ce n’est pas le risque d’attaque qui change — c’est ce qui se passe après.
Ce que j’ai changé, concrètement
Depuis, j’ai renforcé cette surveillance là où elle pouvait l’être, et je suis devenu encore plus exigeant sur les mises à jour et sur ce que j’installe sur un site. Moins de « gadgets », plus de solidité. Pas parce que je ne faisais rien avant, mais parce qu’une alerte réelle vous pousse toujours à relever le niveau.
À lire aussi
Alerte sécurité : la faille qui touche presque tous les sites web (et le seul geste utile)
Pour votre site : les quatre questions à vous poser
Assez parlé de mon cas. Parlons du vôtre. Vous n’avez pas besoin de devenir expert en sécurité — ce n’est pas votre métier. Mais vous pouvez vous poser quatre questions simples, et exiger des réponses claires. Les voici.
Les 4 piliers d’un site tenu dans la durée
1. Savez-vous qui entretient votre site ?
C’est la première question, et la plus révélatrice. Beaucoup d’indépendants ne savent tout simplement pas si leur site est mis à jour, ni par qui. Il a été fait une fois, mis en ligne, et… plus rien. Si vous ne pouvez pas nommer la personne ou le service qui veille sur votre site, la réponse est probablement : personne.
2. Les mises à jour sont-elles réellement faites ?
Un site moderne repose sur des briques logicielles (le système qui le fait tourner, ses extensions) qui doivent être tenues à jour, car c’est là que se glissent la plupart des failles. Ces mises à jour ne se font pas toujours toutes seules — et quand elles échouent silencieusement, personne ne le remarque. Il faut que quelqu’un s’en assure.
3. Votre site est-il surveillé, ou seulement « réparé quand il casse » ?
C’est toute la différence que cette attaque m’a rappelée. Attendre que le problème devienne visible, c’est déjà trop tard. La vraie surveillance est continue : elle regarde même quand tout a l’air d’aller bien, précisément parce qu’une intrusion ne se voit pas.
4. Existe-t-il une sauvegarde saine de votre site ?
C’est le filet de sécurité. Même avec la meilleure vigilance, si le pire arrive, pouvoir restaurer une version propre et récente de votre site change tout : au lieu d’une catastrophe, ce n’est plus qu’un mauvais moment à passer. Encore faut-il que ces sauvegardes existent, qu’elles soient régulières, et qu’elles soient conservées à un endroit sûr.
Si cette histoire tient en une leçon, la voici : la sécurité d’un site ne se résume pas à un cadenas qu’on installe le jour de la mise en ligne. C’est un travail de fond, discret, régulier — exactement le genre de chose qu’on ne voit pas quand c’est bien fait, et qu’on paie cher quand ce n’est pas fait du tout.
Et c’est là que je peux vous être utile. Mon rôle, pour les indépendants, commerçants et artisans que j’accompagne, n’est pas seulement de construire un site : c’est de veiller dessus ensuite. De tenir les mises à jour, de surveiller ce qui ne se voit pas, de garder des sauvegardes propres — pour que vous n’ayez pas à y penser. Parce qu’au fond, la vraie tranquillité, ce n’est pas d’être soi-même expert en sécurité. C’est de pouvoir confier son site à quelqu’un qui veille, et de retourner faire son métier l’esprit léger. Si vous avez un doute sur le vôtre, parlons-en.
Je suis Eric BLM, fondateur de studioBLM. Je conçois des sites internet pensés pour amener de vrais clients aux indépendants, commerçants et artisans — pas des vitrines qu’on admire sans jamais contacter. Basé à Bordeaux, j’interviens en Gironde, dans les Landes et au Pays basque, avec une règle simple : votre voix, vos mots, et aucun jargon.
