Le mail est arrivé un mardi matin, à 8 h 12. Un client : « Votre site affiche un message bizarre, je n'ose pas cliquer. » Le site en question, c'était celui d'une menuiserie de douze salariés, refait deux ans plus tôt pour 2 800 euros. En quarante minutes, j'ai trouvé la porte d'entrée : un plugin de formulaire de contact jamais mis à jour depuis l'installation. Version 3.1.2. La version courante était la 5.6. Personne n'avait jamais regardé.
Voilà le vrai problème de l'audit sécurité site web petites entreprises : ce n'est presque jamais une question de hackers géniaux. C'est une question de choses oubliées. Et un oubli, ça se mesure, ça se chiffre, ça se corrige.
Ce que je vais vous raconter ici vient de la trentaine de sites de TPE et PME que j'ai audités ou dont j'ai repris la maintenance depuis 2021. Pas de théorie. Des prix réels, des erreurs que j'ai commises, et une conviction : la majorité des petites structures paient pour de la sécurité qu'elles n'exploitent pas, tout en laissant ouvertes les trois ou quatre failles qui comptent vraiment.
Points clés à retenir
- Un site vitrine de TPE se compromet à 90 % par un composant obsolète (plugin, thème, CMS), pas par une attaque ciblée sophistiquée.
- Un scan automatisé coûte de 0 à 150 €/mois ; un audit manuel sérieux sur un site de petite entreprise, comptez 600 à 2 500 € selon la profondeur.
- Le RGPD impose de notifier une violation de données à la CNIL sous 72 heures quand elle présente un risque pour les personnes — un audit sert d'abord à éviter d'avoir à le faire.
- La fréquence utile, c'est une fois par an plus après chaque changement majeur : mise à jour du CMS, nouveau plugin, nouvelle prise de paiement.
- Un rapport d'audit sans plan de correction priorisé et chiffré est un document mort.
Pourquoi un site de petite entreprise se fait pirater (et ce n'est pas pour ce que vous croyez)
La question que je pose systématiquement en début de mission : « Qu'est-ce que quelqu'un gagnerait à pirater votre site ? » Neuf fois sur dix, le dirigeant répond « rien, on est trop petits ». C'est exactement l'inverse.
Un site de menuiserie n'est pas attaqué pour lui-même. Il est attaqué parce qu'il est facile. Les robots scannent des millions d'adresses à la recherche de versions logicielles connues comme vulnérables, sans se soucier de ce que le site vend. La cible, c'est la faille. Le site n'est qu'un porteur.
Les trois vecteurs que je retrouve à chaque fois
Sur mon dernier décompte, trois familles de problèmes couvrent la quasi-totalité des incidents que j'ai vus sur des sites de TPE :
- Les extensions non maintenues. Un plugin abandonné par son développeur, un thème premium acheté une fois et jamais renouvelé. Le formulaire de la menuiserie, c'était ça.
- Les accès faibles ou partagés. J'ai vu un compte administrateur WordPress baptisé « admin » avec le même mot de passe que la boîte mail pro. Et un ancien prestataire qui avait encore ses droits deux ans après la fin du contrat.
- L'hébergement mutualisé à cinq euros par mois, sans aucune mise à jour automatique côté serveur.
- Les sauvegardes inexistantes. Quatrième item, mais c'est celui qui transforme un incident en catastrophe. Un site compromis qu'on restaure en deux heures, ce n'est pas une crise. Le même site sans sauvegarde, c'est une semaine de perdue et parfois une perte définitive.
Remarquez l'ordre. Aucun de ces points ne relève de la cybersécurité au sens spectaculaire. Tous relèvent de l'hygiène.
Ce que couvre vraiment un audit sécurité pour une TPE (et ce qu'on vous vend parfois à tort)
Un audit, ce n'est pas un logiciel qui crache un PDF de quarante pages avec des notes rouges partout. J'ai vu des prestataires facturer 400 euros un rapport généré automatiquement par un scanner gratuit, avec les mêmes alertes copiées-collées et aucune priorisation. Inutile.
Un audit utile répond à trois questions concrètes : qu'est-ce qui est exposé aujourd'hui, qu'est-ce qui coûterait le plus cher si ça tombait, et dans quel ordre on répare sans se ruiner. Le reste, c'est de la décoration.
Scan automatisé ou audit manuel : le vrai comparatif
| Critère | Scan automatisé | Audit manuel (prestataire) |
|---|---|---|
| Prix indicatif | 0 à 150 €/mois en abonnement | 600 à 2 500 € selon périmètre |
| Durée | Quelques minutes, récurrent | 1 à 5 jours selon la taille du site |
| Ce qu'il détecte bien | Versions obsolètes, en-têtes de sécurité, certificat SSL expiré, ports ouverts | Logique métier, droits des comptes, failles d'authentification, fichiers malveillants cachés |
| Ce qu'il rate | Défauts de configuration subtils, comptes fantômes, permissions héritées | Rien de garanti, mais demande un prestataire compétent — donc à vérifier |
| Pour qui | Site vitrine sans données clients sensibles | Site avec paiement en ligne, espace membre, données personnelles |
Ma position, et je l'assume : pour une TPE avec un site vitrine et un formulaire de contact, un scan automatisé bien configuré plus une vérification manuelle rapide une fois par an suffit largement. Payer un pentest complet à 3 000 euros sur un site qui ne stocke que des noms et des numéros de téléphone, c'est jeter de l'argent par la fenêtre.
Combien coûte un audit sécurité de site web pour une petite entreprise ?
Question qu'on me pose à chaque premier rendez-vous, et à laquelle beaucoup de prestataires répondent par « ça dépend ». Réponse honnête : voici les fourchettes que j'ai pratiquées ou vues pratiquer ces deux dernières années.
- Audit express sur un site WordPress simple : 400 à 800 €. Comptez une demi-journée à une journée. Vous obtenez un état des lieux et une liste priorisée.
- Audit complet avec tests d'intrusion légers sur un site e-commerce de taille modeste : 1 500 à 3 000 €.
- Abonnement de surveillance continue : 60 à 200 €/mois selon le nombre de sites et le niveau de réactivité.
Un chiffre qui parle davantage que ces fourchettes : sur les douze derniers sites de TPE que j'ai repris en maintenance, la correction des failles critiques a coûté en moyenne moins de 300 euros de temps technique. Moins de 300 euros. Alors que la remise en état après un site infecté — nettoyage, restauration, réindexation Google, communication aux clients — dépasse souvent les 2 000 euros et plusieurs semaines de visibilité perdue.
Le calcul est vite fait. Ce qui coûte cher, ce n'est pas l'audit. C'est l'attente.
Faut-il passer par son hébergeur pour l'audit ?
Pas forcément, et méfiance si on vous le présente comme une évidence. Un hébergeur mutualisé vend souvent une formule de sécurité incluse dans son offre, ce qui est pratique mais loin d'être neutre : il audite ce qu'il contrôle, pas ce que vous avez installé vous-même. Pour un site vitrine c'est un bon point de départ à petit prix ; pour un site avec paiement, faites vérifier indépendamment.
Ce que la loi vous impose (et que presque personne n'anticipe)
Un point que je n'ai vu traité nulle part quand je cherchais des ressources pour mes clients : la dimension juridique. Elle est pourtant décisive pour une TPE.
Si votre site collecte des données personnelles — un simple formulaire de contact, une newsletter, un compte client — vous êtes responsable de traitement au sens du RGPD. En cas de violation de données (site compromis, base clients exfiltrée), vous avez une obligation de notification à la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque pour les droits des personnes. Et une obligation d'informer les personnes concernées si le risque est élevé.
72 heures. Autrement dit : si votre site tombe un vendredi soir sans sauvegarde ni journal d'accès exploitable, vous ne pouvez probablement même pas savoir ce qui a fuité. Un audit, dans ce contexte, ne sert pas seulement à éviter l'incident. Il sert à pouvoir répondre si l'incident arrive.
J'ajoute une chose : gardez une trace écrite des mesures de sécurité en place. En cas de contrôle, la bonne foi et la démarche documentée comptent. Un rapport d'audit daté, c'est aussi une pièce de dossier.
La checklist concrète pour un site WordPress de TPE
Puisque la majorité des sites de petites entreprises que je croise tournent sous WordPress (ou un CMS équivalent : PrestaShop, WooCommerce), voici ce que je vérifie en premier sur chaque mission, dans l'ordre.
- Version du cœur, du thème et de chaque plugin — et leur date de dernière mise à jour. Un plugin non mis à jour depuis plus de dix-huit mois est un risque à lui seul.
- Liste des comptes administrateurs. Y a-t-il un « admin » par défaut ? Des comptes d'anciens prestataires ?
- Sauvegardes : existent-elles, où sont-elles stockées, quand ont-elles été testées pour la dernière fois ? Une sauvegarde jamais testée n'est pas une sauvegarde.
- Certificat SSL valide, redirection HTTP vers HTTPS active.
- Formulaire de contact : protection anti-spam, validation des champs côté serveur, et pas de données envoyées en clair par mail sans réflexion.
- Journaux d'accès disponibles et conservés assez longtemps.
Sur une bonne partie des sites que j'ai ouverts, les points 1 à 3 sont à revoir. C'est dire.
À quelle fréquence faut-il auditer son site ?
Une fois par an pour un site stable, c'est le minimum raisonnable. Mais le vrai déclencheur, c'est le changement : après une grosse mise à jour du CMS, après l'ajout d'un module de paiement, après le départ d'un prestataire, et immédiatement après tout incident suspecté. Sur un site qui évolue, j'ai vu des failles apparaître en trois semaines à peine après l'installation d'un plugin.
Quels signaux doivent vous alerter immédiatement ?
Un moteur de recherche qui signale « ce site peut être piraté » dans les résultats. Une chute brutale du trafic. Des pages que vous n'avez pas créées dans votre back-office. Des mails de vos contacts qui reçoivent du spam signé de votre adresse. Ou le message de votre client, le mardi à 8 h 12.
Ce que j'ai raté, et ce que ça m'a appris
Franchement, je me suis planté plusieurs fois. La première : j'ai audité un site, livré un rapport impeccable, et oublié de vérifier une chose toute bête — que le prestataire précédent possédait toujours les accès à la base de données. Le rapport était excellent. Le risque, intact.
La deuxième, plus instructive : pendant des mois, j'ai recommandé à mes clients de tout verrouiller, tout durcir, tout fermer. Résultat, deux fois sur trois, ils ne pouvaient plus mettre à jour seuls leur propre site, revenaient vers moi pour un oui ou pour un non, et finissaient par me demander de « faire plus simple ». Un site trop verrouillé devient un site abandonné. Un site abandonné est un site vulnérable.
La sécurité d'une petite entreprise doit rester utilisable. Sinon, elle ne survit pas au premier lundi matin chargé.
Bref, la vraie question n'est pas « combien ça coûte de faire un audit ». C'est : combien de temps votre entreprise peut-elle rester sans site, sans base clients, et sans être capable d'expliquer à vos clients ce qui s'est passé ? Pour beaucoup, la réponse honnête tient en une phrase courte. Ce n'est pas une raison pour ne pas vérifier, une fois, tranquillement, ce qui se cache derrière le formulaire de contact.
