1. Un hébergement souverain et sécurisé
Le choix de l’hébergeur est la fondation de tout le reste. Pour un site municipal, nous recommandons systématiquement un hébergeur français ou européen, avec des engagements clairs sur la localisation des données. Les hébergeurs sérieux proposent un pare-feu applicatif (WAF), une protection anti-DDoS, des sauvegardes automatiques et un certificat SSL inclus. Évitez les offres low-cost sans garanties de niveau de service.
2. Un certificat SSL obligatoire
En 2025, un site sans HTTPS n’a tout simplement pas sa place dans le service public. Le SSL chiffre les échanges entre le serveur et les visiteurs, protège les formulaires de contact et les démarches en ligne, et évite les avertissements de sécurité dans les navigateurs — qui font fuir les administrés. C’est une exigence non négociable à intégrer dans votre cahier des charges.
3. Un CMS maintenu et documenté
Si votre site est construit sur un CMS (WordPress, Drupal, TYPO3…), exigez de votre prestataire qu’il soit livré dans sa dernière version stable, avec un plan de maintenance clair. Cela inclut : les mises à jour régulières du cœur et des extensions, la suppression des plugins inutilisés, et la documentation des accès administrateurs. Un CMS abandonné est la première porte d’entrée des attaquants.
4. Une politique de sauvegarde robuste
Demandez explicitement : quelle est la fréquence des sauvegardes ? Où sont-elles stockées ? Comment procède-t-on à une restauration ? Les sauvegardes doivent être automatiques, quotidiennes, et stockées sur un serveur distinct du serveur principal. Un prestataire sérieux doit pouvoir vous répondre précisément sur ce point.
5. Des accès administrateurs sécurisés
L’interface d’administration de votre site doit être protégée par des identifiants robustes et uniques, idéalement complétés par une authentification à deux facteurs (2FA). Assurez-vous également que l’URL de connexion n’est pas la valeur par défaut (ex. /wp-admin pour WordPress), facilement ciblée par les robots d’attaque automatisés.
6. La conformité RGPD intégrée dès la conception
Un site municipal collecte inévitablement des données personnelles : formulaires de contact, prise de rendez-vous, newsletter… Ces traitements doivent être déclarés, encadrés par une politique de confidentialité claire, et associés à un gestionnaire de consentement conforme. Ne traitez pas le RGPD comme un ajout cosmétique : intégrez-le dans les spécifications techniques dès le départ.
7. L’accessibilité numérique (RGAA)
Pour les organismes publics, le Référentiel Général d’Amélioration de l’Accessibilité (RGAA) est une obligation légale. Un site accessible est un site structuré, bien codé et maintenable — trois qualités qui contribuent directement à sa robustesse face aux attaques. Accessibilité et sécurité ne s’opposent pas : elles se renforcent mutuellement.
