Maintenance d’un site web : checklist sécurité pour PME

Pour maintenir le site d’une TPE ou d’une PME, identifiez les comptes qui le font fonctionner, prévoyez les mises à jour, vérifiez les sauvegardes et testez les parcours importants. Attribuez un responsable à chaque contrôle et définissez comment signaler un incident. Une page d’accueil qui s’affiche ne prouve pas que le formulaire, le renouvellement du domaine et la restauration des données fonctionnent.

Ce guide propose une méthode de préparation et de suivi. Il ne remplace pas un audit technique adapté au site et ne garantit ni l’absence d’attaque ni un délai de rétablissement. Le périmètre d’un accompagnement de maintenance et sécurité doit être confirmé dans le devis et le contrat.

Que faut-il inventorier avant de choisir une maintenance ?

Créez une fiche de fonctionnement avec le domaine, l’hébergement, le dépôt de code ou le CMS, la base de données, les fichiers, la messagerie d’envoi et les intégrations indispensables. Pour chaque élément, notez le propriétaire du compte, la personne autorisée à intervenir, la date de renouvellement et la procédure d’accès.

Ajoutez les versions utilisées et les fonctions critiques : recevoir une demande, prendre un rendez-vous, consulter un espace client ou transmettre une commande. Le prestataire doit connaître les dépendances du site pour évaluer un changement. Notre guide de création d’un site professionnel explique comment cadrer ces fonctions avant le développement.

Le tableau suivant est illustratif : il décrit une entreprise fictive et des éléments à adapter, sans engagement de service associé.

Comment protéger les accès sans bloquer le prestataire ?

Privilégiez les invitations nominatives et les droits nécessaires à la mission. Conservez un moyen de récupérer les comptes au nom de l’entreprise ; une seule personne ne doit pas être l’unique point d’accès à tous les services. Lorsque le service le permet, activez l’authentification multifacteur sur les comptes d’administration. Cybermalveillance.gouv.fr recommande notamment des accès privilégiés protégés et un nombre d’administrateurs limité. Recommandations pour sécuriser un site internet.

Ne mettez pas les mots de passe, clés d’API ou codes de récupération dans un formulaire de contact, un ticket public ou le cahier des charges. Utilisez un mécanisme de partage sécurisé convenu avec le prestataire. Révoquez les accès devenus inutiles et remplacez les secrets potentiellement exposés. Le bilan des comptes doit inclure le domaine et la messagerie permettant de réinitialiser les autres accès.

Un changement de prestataire demande une remise des documents, des configurations et des accès prévus au contrat. Testez cette reprise avant de retirer les anciens droits ; ne partagez pas simplement le mot de passe d’un compte personnel.

Que doit contenir une sauvegarde réellement utilisable ?

Listez ce qui change : données, fichiers téléversés, configuration et code non récupérable ailleurs. Précisez la fréquence, la durée de conservation, le lieu de stockage et les droits de restauration. Vérifiez aussi les limites du plan d’hébergement : la présence d’une fonction « sauvegarde » ne décrit pas à elle seule son périmètre ni sa durée de rétention.

La CNIL recommande des copies protégées, isolées des systèmes exploités et des tests réguliers d’intégrité et de restauration. Le niveau de protection doit aussi couvrir les données personnelles présentes dans ces copies. CNIL : sauvegarder.

Préparez un exercice de restauration dans un environnement séparé. Notez la copie utilisée, l’heure des données restaurées, les éléments manquants et le temps observé pour retrouver un fonctionnement. Testez un parcours représentatif sans envoyer de vrais emails ni déclencher de paiement. Utilisez des données de test ou un jeu de données adapté et protégez cet environnement.

Deux questions aident à dimensionner le dispositif : quelle quantité de données récentes l’entreprise peut-elle perdre, et combien de temps peut-elle rester sans la fonction concernée ? Les objectifs de perte de données et de rétablissement, parfois nommés RPO et RTO, doivent être discutés. Un résultat mesuré pendant un exercice n’est pas une garantie contractuelle pour tout incident.

Comment préparer une mise à jour technique ?

Identifiez les composants concernés, l’urgence d’une correction et les incompatibilités connues. Préparez une sauvegarde exploitable et une procédure de retour arrière. Vérifiez les changements sur un environnement adapté avant leur activation lorsque le risque le justifie ; une correction de sécurité urgente ne doit pas attendre arbitrairement la prochaine revue mensuelle. Cybermalveillance.gouv.fr : mises à jour et sécurisation.

La recette dépend du changement. Après une évolution du formulaire, testez sa validation et la réception du message. Après une mise à jour d’interface, examinez navigation, clavier, mobile et contenu. Après une modification de base, vérifiez les droits, la lecture et l’écriture des données sur des cas autorisés. Les tests doivent permettre de constater un problème précis, pas seulement produire un indicateur vert.

Consignez la date, les versions, le résultat des contrôles et les décisions. Distinguez les changements de maintenance des nouvelles fonctionnalités : ajouter un espace client demande un cadrage et une recette propres, même si le prestataire assure déjà le suivi technique.

Que surveiller au-delà de la page d’accueil ?

Choisissez les chemins qui conditionnent l’activité : contact, connexion, réservation ou commande selon le site. Définissez à quoi ressemble un échec et à qui l’alerte est adressée. Un contrôle de disponibilité ne remplace pas un envoi complet de formulaire ; un message confirmé à l’écran peut encore échouer avant la réception.

Vérifiez les renouvellements du domaine et des services, l’expiration des accès aux API, les erreurs récurrentes et les alertes du fournisseur. Préservez les informations utiles au diagnostic sans enregistrer inutilement le contenu confidentiel des demandes. La sécurisation du HTTPS, du domaine et des composants fait partie des recommandations nationales pour les sites internet. Cybermalveillance.gouv.fr : sécuriser son site.

Le suivi SEO complète ce contrôle : surveillez les pages importantes, les erreurs d’accès, les liens internes et les directives d’indexation après un changement. Notre checklist d’audit SEO PME précise ces vérifications. HTTPS sécurise les échanges ; il ne prouve ni l’absence de faille dans le code ni le bon référencement du site.

Quelles responsabilités préciser dans le contrat ?

Faites distinguer la maintenance préventive, les corrections après incident et les évolutions. Écrivez les composants couverts, les plages de contact, les niveaux d’urgence, le canal de signalement, les délais convenus et les éventuelles exclusions. Une surveillance automatisée ne signifie pas qu’une personne intervient en permanence.

Lorsque le prestataire traite des données personnelles pour l’entreprise, la CNIL recommande de cadrer les garanties de sécurité et les conditions de sous-traitance. Identifiez notamment les accès autorisés et le circuit d’information en cas d’incident concernant ces données. CNIL : gérer la sous-traitance.

Ajoutez les preuves attendues : rapport des opérations, inventaire des comptes, résultats de restauration et anomalies encore ouvertes. Préparez les modalités de sortie : récupération des fichiers et données, révocation des accès et obligations de conservation ou de suppression applicables. Une refonte du site peut modifier ces responsabilités ; réexaminez-les après une migration.

Quelle checklist utiliser pour une revue de maintenance ?

La fréquence se choisit selon les risques, les changements et les engagements convenus. Cette checklist est un point de départ, pas un contrat standard.

• Les propriétaires des comptes et les contacts d’incident sont à jour.
• Les renouvellements du domaine et des services ont un responsable.
• Les composants couverts et les corrections nécessaires sont identifiés.
• Les sauvegardes couvrent les données et fichiers attendus.
• Une restauration a été testée et son résultat consigné.
• Les parcours critiques et la réception des contacts ont été vérifiés.
• Les alertes et les problèmes ouverts ont été relus.
• Les accès inutiles ont été retirés et les sorties de prestataires préparées.
• Chaque changement a une validation et un moyen de retour arrière adapté.

Questions fréquentes sur la maintenance d’un site

Un site vitrine a-t-il besoin de maintenance ?

Oui, son domaine, son hébergement, ses composants et ses moyens de contact dépendent de services qui évoluent. Le suivi nécessaire est différent de celui d’une application avec transactions, comptes utilisateurs et données importantes ; le périmètre doit refléter cette différence.

La sauvegarde de l’hébergeur suffit-elle ?

Cela dépend des éléments couverts, de la rétention, de l’accès aux copies et de la restauration possible. Demandez une preuve de récupération et examinez les risques d’une dépendance unique ; ne présumez pas que code, base et fichiers sont tous inclus.

Comment demander un état des lieux sans communiquer mes secrets ?

Décrivez les outils, les fonctions importantes, les incidents et les propriétaires des comptes. Les invitations et secrets nécessaires se transmettent ensuite par le canal sécurisé convenu, avec des droits limités à la mission.

Quel budget et quel délai d’intervention faut-il prévoir ?

Ils dépendent du périmètre, des données, des composants et des contraintes d’activité. Vérifiez les conditions figurant dans l’offre et faites confirmer le dispositif dans le contrat. Pour préparer cet échange, décrivez votre besoin de maintenance sans inclure de mot de passe ou de clé technique.