Le premier site vitrine d’une boîte est souvent un WordPress rapidement monté, plugins en pagaille, admin partagé. C’est une cible automatisée. Voici les bases avant le polish SEO.
Disclaimer : article de sensibilisation. Blackwall Security n’est pas un cabinet juridique ni un prestataire d’audit ou de réponse à incident.
HTTPS : non négociable
Certificat TLS partout, redirects HTTP→HTTPS. Sans ça, sessions et formulaires circulent en clair sur le trajet.
CMS et plugins à jour
Mises à jour core, thèmes, plugins. Supprimez l’inutilisé. Moins de plugins = moins de surface. Les scanners cherchent des versions connues vulnérables — pas votre marque.
Admin et accès
Compte admin fort + MFA si dispo. Pas « admin/admin ». Limitez le nombre d’administrateurs. Changez l’URL de login si pertinent, mais ne croyez pas que le obscurcissement remplace un mot de passe fort + MFA.
Domaine et hébergement
Registrar et panel d’hébergement : MFA, mots de passe uniques dans le gestionnaire. Un site patché avec un registrar pirate = game over DNS.
Sauvegardes site
Backup fichiers + base, hors de l’hébergeur unique si possible. Testez une restauration sur staging. Alignez stratégie backup.
Headers et monitoring
Headers de base (CSP progressive, etc.) selon votre stack. Monitoring uptime + alertes défacement. WAF hébergeur si disponible — utile, pas magique.
Formulaires et données
Ne collectez que le nécessaire. Protégez l’admin du spam. Si le site traite des paiements, appuyez-vous sur un PSP (Stripe etc.), ne stockez pas de cartes.
Le site n’est qu’une surface : email et cloud restent souvent plus critiques. Mais un WordPress négligé offre une porte d’entrée marketing et parfois un pivot. Playbook.
Pour aller plus loin
Revenez au Guide sécurité pour fondateurs pour situer ce sujet dans la séquence des contrôles. Croisez avec la stack minimale : si les bases identité / appareils / sauvegardes manquent, traitez-les avant d’optimiser le détail.
Si votre contexte sort du cadre (secteur régulé, clients enterprise exigeants, incident en cours), passez par la page Contact pour suggérer un guide — et pour un incident live, faites appel à un spécialiste. Ce texte reste de la sensibilisation pragmatique, pas une prestation.
Enfin, bloquez 45 minutes dans le calendrier cette semaine pour appliquer au moins une action concrète de cet article. La lecture sans passage à l’acte n’améliore pas votre posture — l’habitude, si.