Pourquoi auditer la sécurité d'un site web PME
Un site professionnel n'est pas toujours une simple vitrine. Il peut recevoir des demandes de devis, traiter des paiements, stocker des comptes clients, exposer des documents, envoyer des emails ou servir d'entrée vers des outils internes. Quand le site tombe ou qu'il est compromis, le sujet devient immédiatement business : perte de demandes, perte de confiance, fuite de données ou blocage commercial.
Pour une PME, le risque vient rarement d'un seul point spectaculaire. Il vient plutôt d'une chaîne fragile : compte administrateur partagé, hébergement mal protégé, ancien plugin, formulaire bavard, sauvegarde non testée, sous-domaine oublié, DNS mal configuré ou accès prestataire resté actif.
Ce qu'un audit doit vérifier
- site principal, sous-domaines, anciennes versions et environnements de test ;
- formulaires, fichiers publics, endpoints, pages d'administration et espace client ;
- hébergement, domaine, DNS, Cloudflare, TLS et headers de sécurité ;
- comptes admin, MFA, sessions, prestataires et droits trop larges ;
- données clients, exports, sauvegardes, journaux et capacité de reprise.
Site web, application ou serveur : quelle différence ?
Un site web est l'interface visible par les clients. Une application web ajoute souvent un espace connecté, des rôles, des formulaires avancés, une API ou des transactions. Le serveur est l'infrastructure qui héberge tout cela. Dans un audit utile, ces trois niveaux sont reliés, parce qu'une faiblesse sur l'un peut exposer les autres.
Par exemple, un site peut être bien conçu mais hébergé sur un serveur avec un accès SSH faible. Une application peut avoir une bonne authentification mais laisser des exports accessibles. Un domaine peut passer par Cloudflare tout en laissant l'origine joignable directement. Le périmètre doit donc être adapté au fonctionnement réel de l'entreprise.
Signaux qui doivent pousser à auditer
- le site traite des données clients ou des paiements ;
- plusieurs prestataires ont eu accès au site ou à l'hébergement ;
- un ancien espace admin, test ou staging existe encore ;
- l'entreprise ne sait pas restaurer rapidement le site ;
- une alerte hébergeur, un comportement étrange ou une modification non expliquée a été observée.
FAQ
Est-ce un pentest complet ?
Non, pas par défaut. L'audit vise d'abord une lecture autorisée, claire et priorisée. Un test d'intrusion site web plus poussé peut être cadré si le périmètre, les accès et les autorisations le permettent.
Faut-il donner un accès au site ?
L'audit peut commencer en externe. Un accès temporaire permet ensuite de vérifier les comptes, sauvegardes, configurations et journaux utiles.
Que reçoit l'entreprise ?
Un rapport lisible, avec une liste de risques classée par impact et des preuves simples. Les patchs peuvent être traités après validation du périmètre.