Règle 1 — HTTPS obligatoire sur toutes les pages
Le certificat SSL garantit que les échanges entre le navigateur du visiteur et le serveur sont chiffrés. En 2025, un site en HTTP affiche un avertissement « Non sécurisé » dans Chrome et Firefox — une image désastreuse pour une institution publique. Le SSL est gratuit via Let’s Encrypt et doit être configuré sur l’intégralité du site, pas seulement sur les formulaires.
Règle 2 — Mises à jour systématiques du CMS et des extensions
Qu’il s’agisse de WordPress, Drupal ou tout autre CMS, chaque version contient des corrections de sécurité. Un site non mis à jour depuis 6 mois est statistiquement vulnérable à des failles connues et documentées. Planifiez une fenêtre de maintenance mensuelle, sur un environnement de test avant déploiement en production.
Règle 3 — Sauvegardes automatiques hors-serveur
Une sauvegarde stockée sur le même serveur que le site ne sert à rien en cas de compromission ou de panne matérielle. Les sauvegardes doivent être quotidiennes, automatiques, et stockées sur un support distinct (stockage cloud souverain, NAS externe). Testez leur restauration au moins deux fois par an.
Règle 4 — Identifiants d’administration robustes + 2FA
L’interface d’administration du site doit être protégée par un identifiant non devinable, un mot de passe fort (16 caractères minimum) et une authentification à deux facteurs. Ces trois éléments combinés rendent les attaques par force brute quasi-impossibles. Ne partagez jamais les identifiants admin par email non chiffré.
Règle 5 — Pare-feu applicatif (WAF)
Un WAF filtre les requêtes malveillantes avant qu’elles n’atteignent votre site : injections SQL, attaques XSS, tentatives de force brute… Des solutions comme Cloudflare (version gratuite disponible) ou Wordfence pour WordPress offrent une protection efficace sans nécessiter de compétences techniques avancées.
Règle 6 — En-têtes de sécurité HTTP configurés
Les en-têtes HTTP comme Content-Security-Policy, X-Frame-Options ou Strict-Transport-Security sont des directives envoyées par le serveur au navigateur pour lui indiquer comment traiter le contenu. Ils bloquent notamment les attaques de type clickjacking et les injections de scripts. Un simple audit via securityheaders.com permet de vérifier leur état en quelques secondes.
Règle 7 — Principe du moindre privilège sur les accès
Chaque agent municipal qui accède au back-office du site doit disposer du niveau de droits strictement nécessaire à sa mission. L’agent de communication qui publie des actualités n’a pas besoin des droits administrateur. Revoyez régulièrement la liste des comptes actifs et supprimez les accès des personnes ayant quitté la commune.
Règle 8 — Monitoring et alertes en temps réel
Mettez en place une surveillance de la disponibilité du site (outils comme UptimeRobot, gratuit jusqu’à 50 moniteurs) et des alertes en cas de modification de fichiers critiques ou de pic de trafic anormal. Être prévenu immédiatement d’un incident permet d’intervenir avant que les dégâts ne se propagent. C’est souvent la différence entre une compromission contenue et un incident majeur.
