Comment nous protégeons votre site et vos données

La sécurité est une chaîne : le réseau, le serveur, la connexion, votre site et votre propre compte. Les trois premiers maillons sont les nôtres : nous bloquons les attaques au niveau du réseau, entretenons le serveur et chiffrons la connexion. Les deux derniers sont les vôtres : tenir votre CMS et vos plugins à jour, et veiller à ce que personne n'entre avec votre mot de passe.

Un maillon faible rend le reste inutile. Un serveur parfaitement à jour ne sert à rien si un plugin vieux de trois ans tourne sur votre site. Vous lisez ci-dessous, maillon par maillon, ce qui se passe et qui s'en charge.

Ce que nous faisons

  • Bloquer le trafic DDoS au niveau du réseau, avant qu'il n'atteigne votre site
  • Mettre à jour le système d'exploitation, le serveur web et les versions de PHP
  • Isoler les sites hébergés sur un même serveur
  • Installer un certificat SSL gratuit et le renouveler automatiquement
  • Sauvegarder chaque jour les fichiers et la base de données, et les conserver 14 jours

Ce que vous faites

  • Tenir votre CMS, votre thème et vos plugins à jour
  • Utiliser des mots de passe forts et uniques et activer la vérification en deux étapes
  • Ne pas donner aux utilisateurs plus de droits que nécessaire
  • Supprimer les plugins que vous n'utilisez pas, au lieu de simplement les désactiver
  • Nous prévenir lorsque vous remarquez quelque chose d'inhabituel
Maillon 1 · le réseau

Au niveau du réseau : protection DDoS

Lors d'une attaque DDoS, des milliers d'appareils envoient en même temps du trafic vers votre site, dans le seul but de le surcharger. Rien n'est volé, votre site est simplement inaccessible. Chez WWW4, ce trafic est reconnu et bloqué sur notre infrastructure réseau avant d'atteindre votre site. C'est inclus dans chaque formule, sans que vous ayez rien à configurer.

Soyons honnêtes : la protection DDoS garde votre site accessible lors d'une attaque par surcharge, rien de plus. Elle n'arrête pas un intrus qui entre par un plugin obsolète ou un mot de passe faible. C'est à cela que servent les autres maillons.

À propos de la protection DDoS
Maillon 2 · le serveur

Sur le serveur : entretien et isolation

Un site web tourne sur un système d'exploitation, un serveur web et une version de PHP. Ces trois éléments sont les nôtres, et c'est précisément là que naissent la plupart des vulnérabilités quand personne ne les entretient.

Nous entretenons le côté serveur

Le système d'exploitation, le serveur web et les versions de PHP que nous proposons sont mis à jour par nos soins. Vous n'avez rien à faire et, normalement, vous ne remarquez rien. Ce qui tourne au-dessus, votre CMS et vos plugins, c'est votre côté de la chaîne.

Les sites sont isolés les uns des autres

En hébergement mutualisé, plusieurs sites se trouvent sur un même serveur. Chaque site tourne dans son propre espace isolé, avec ses propres fichiers et ses propres bases de données. Un problème chez un autre client ne donne pas accès à votre site.

Vous choisissez vous-même votre version de PHP

Par site et à tout moment. Une version récente de PHP reçoit des mises à jour de sécurité ; une ancienne n'en reçoit plus. Placez donc votre site sur la version la plus récente que votre thème et vos plugins supportent, et revenez en arrière si une mise à jour déçoit.

Quelle version de PHP choisir ? Besoin d'un serveur propre ?
Maillon 3 · la connexion

En transit : chiffré via SSL

Tout ce qui circule entre votre visiteur et votre site, mots de passe, formulaires, commandes, voyage chiffré via https. Chaque formule d'hébergement comprend pour cela un certificat Let's Encrypt gratuit, renouvelé automatiquement. Vous n'avez donc aucune date d'expiration à surveiller.

Si vous souhaitez que vos visiteurs voient dans le certificat quelle entreprise se trouve derrière le site, vous pouvez opter pour un certificat payant avec validation d'entreprise. Pour le chiffrement lui-même, cela ne fait aucune différence.

À propos des certificats SSL
Maillon 4 · en cas de problème

Si cela tourne mal malgré tout

Aucune sécurité n'est complète. Ce qui compte, c'est donc ce qui est prêt pour le moment où cela dérape : une mise à jour ratée, une erreur humaine ou un site piraté.

Sauvegarde quotidienne, 14 jours

Vos fichiers et votre base de données sont sauvegardés chaque jour, et la sauvegarde est conservée 14 jours. C'est inclus ; vous n'avez rien à configurer.

Restauration sur demande

Contactez le support avec votre nom de domaine et le moment où tout fonctionnait encore. Plus vous le savez précisément, plus la restauration sera ciblée. En attendant, ne travaillez plus sur le site.

Surveillance et page de statut

Nous surveillons notre infrastructure et nos serveurs. En cas de panne ou de maintenance planifiée, vous le voyez sur la page de statut, pour ne pas devoir deviner si le problème vient de votre site ou de nous.

À propos de la sauvegarde & restauration Statut des services Restaurer un site piraté
Maillon 5 · votre site et votre compte

Ce que vous faites vous-même

La plupart des incidents que nous voyons ne commencent pas au serveur mais dans le site lui-même : un plugin non mis à jour depuis des mois, ou un mot de passe utilisé aussi ailleurs. Voici les habitudes qui font la différence.

Tenez votre CMS, votre thème et vos plugins à jour. Les plugins obsolètes sont la cause la plus fréquente d'un site piraté.
Utilisez des mots de passe forts et uniques pour votre CMS, votre panneau de contrôle et vos boîtes mail, et conservez-les dans un gestionnaire de mots de passe.
Activez la vérification en deux étapes partout où c'est possible. Un mot de passe divulgué ne suffit alors plus à lui seul.
Ne donnez pas aux utilisateurs plus de droits que nécessaire. Qui ne fait qu'écrire des articles n'a pas à être administrateur. Supprimez les comptes de ceux qui sont partis.
Faites le ménage dans vos plugins. Ce que vous n'utilisez pas, supprimez-le. Un plugin désactivé reste sur le serveur et peut toujours contenir une faille.
Faites une sauvegarde supplémentaire avant une intervention importante, comme une mise à niveau du CMS ou un nouveau thème. Notre sauvegarde quotidienne est un filet de sécurité, pas un substitut à la prudence.
Sécuriser WordPress Mettre WordPress à jour en toute sécurité

Pour aller plus loin

Où se trouvent physiquement vos données, ce que cela implique pour le RGPD, et ce que nous convenons en matière de disponibilité.

Localisation des données et RGPD Nos datacenters Notre SLA

Questions fréquentes sur la sécurité

Non, et aucun hébergeur honnête ne vous le dira. Nous sécurisons le réseau, le serveur et la connexion, et veillons à ce qu'une sauvegarde quotidienne soit prête si les choses tournent mal. Mais votre site lui-même, avec son CMS, son thème, ses plugins et ses comptes utilisateurs, reste le maillon où commencent la plupart des incidents. La sécurité ne fonctionne que si chaque partie fait sa part.
Nous arrêtons le trafic DDoS au niveau du réseau, mettons à jour le système d'exploitation, le serveur web et les versions de PHP, isolons les uns des autres les sites d'un même serveur, installons un certificat SSL gratuit et faisons une sauvegarde chaque jour. Vous tenez à jour votre CMS, votre thème et vos plugins, utilisez des mots de passe forts avec l'authentification à deux facteurs, et ne donnez pas aux utilisateurs plus de droits que nécessaire.
Non. La protection DDoS garde votre site accessible quand quelqu'un tente de le surcharger de trafic. Elle n'arrête pas un intrus qui entre par un plugin obsolète, un mot de passe faible ou une faille de votre application. Là, ce sont l'entretien de votre site et de bons mots de passe qui font la différence.
Non. Chaque formule d'hébergement comprend un certificat Let's Encrypt gratuit, renouvelé automatiquement, pour que votre site soit accessible en https sans que vous deviez surveiller une date d'expiration. Un certificat payant n'est utile que si vous voulez une validation d'entreprise : le nom de votre société figure alors dans le certificat. Pour le chiffrement lui-même, cela ne change rien.
Contactez le support avec votre nom de domaine et le moment où le site était encore en ordre. Restaurer une sauvegarde saine est généralement plus rapide et plus sûr que nettoyer. Ensuite, la cause doit disparaître, sinon l'intrus revient : le plus souvent, c'est un plugin obsolète ou un mot de passe divulgué. Après un piratage, changez tous les mots de passe de votre CMS, du panneau de contrôle et des boîtes mail.
Quatorze jours. Une sauvegarde de vos fichiers et de votre base de données est réalisée chaque jour, et elle est incluse dans chaque formule d'hébergement. Vous demandez une restauration au support. Faites vous-même une sauvegarde supplémentaire avant une intervention importante comme une mise à niveau du CMS, et gardez aussi votre propre copie de vos fichiers essentiels.
Non. En hébergement mutualisé, plusieurs sites se trouvent sur un même serveur, mais chaque site tourne dans son propre espace isolé, avec ses propres fichiers et ses propres bases de données. Le site piraté d'un autre client ne donne pas accès au vôtre. Si vous voulez un environnement entièrement à vous, un VPS managé est l'étape suivante.
Dans deux datacenters belges, à Bruxelles et à Gand, sur des serveurs que nous gérons nous-mêmes. Vos données ne quittent pas la Belgique. Si vous voulez fixer la manière dont nous traitons les données personnelles en tant que sous-traitant, vous recevez sur demande un accord de traitement, même avant de devenir client.
Appelez-nous
Envoyer un e-mail