Sauvegarde et sécurité d'un site internet suisse : ce qu'une PME doit vraiment vérifier

TL;DR. La sécurité d'un site internet, ce n'est pas un antivirus qu'on installe une fois. C'est un ensemble : certificat SSL valide, sauvegardes automatiques régulières et testées, mises à jour du CMS et des extensions, mots de passe forts avec double authentification, et surveillance active des tentatives d'intrusion. Une PME suisse doit exiger de son prestataire une politique écrite qui couvre ces cinq points, avec un délai de restauration connu. Sans ça, une panne, un piratage ou une mise à jour ratée peut coûter plusieurs jours d'activité.

Quand une PME romande nous appelle en panique, le scénario est presque toujours le même. Le site affiche une erreur, ou pire, un écran rempli d'annonces bizarres. Personne ne sait quand la dernière sauvegarde a été faite. Le prestataire qui avait mis le site en ligne il y a trois ans ne répond plus. Le mot de passe administrateur est celui de la stagiaire partie en 2022. Et le patron découvre qu'un site internet, ce n'est pas un meuble qu'on pose une fois : c'est une petite infrastructure qui vit, qui doit être entretenue, et qui peut tomber.

Cet article n'est pas un cours de cybersécurité. C'est une check-list honnête pour un dirigeant de PME suisse qui veut savoir si son site est correctement protégé, et surtout quelles questions poser à son prestataire avant que le problème arrive.

Points clés

• Un certificat SSL (le cadenas HTTPS) est aujourd'hui le minimum absolu : sans lui, Google et les navigateurs signalent le site comme dangereux.
• Une sauvegarde n'a de valeur que si elle est automatique, stockée hors du serveur principal, et testée régulièrement pour vérifier qu'elle se restaure vraiment.
• Les mises à jour du CMS (WordPress, etc.) et de ses extensions bouchent les failles connues : les reporter est la première cause de piratage de sites de PME.
• Un site cassé peut être remis en ligne en quelques heures si le prestataire a une sauvegarde récente et un plan de restauration clair.
• En Suisse, la LPD révisée exige de protéger les données personnelles collectées sur le site (formulaires de contact, comptes clients) avec des mesures techniques adaptées.
• Le double facteur (2FA) sur les accès administrateurs stoppe la grande majorité des tentatives de piratage par mot de passe volé.
• La question à poser à tout prestataire web : « Si mon site tombe demain matin, en combien d'heures est-il de retour, et qui paie ? »

Pourquoi un site de PME se retrouve piraté ou perdu

Les sites de PME suisses sont rarement visés personnellement. La plupart des attaques sont automatisées : des robots scannent en permanence l'internet à la recherche de sites qui utilisent une ancienne version de WordPress, un plugin non mis à jour, ou un mot de passe faible. Quand ils en trouvent un, ils l'exploitent — souvent pour injecter du spam, rediriger les visiteurs vers des pages douteuses, ou envoyer des e-mails frauduleux depuis le serveur.

Le problème n'est donc presque jamais un ninja qui vous en veut. C'est une négligence technique. Et les trois négligences les plus courantes sont toujours les mêmes :

1. Le site n'est plus mis à jour. Le CMS et ses extensions ont des failles connues, publiées publiquement dès qu'elles sont corrigées. Un site qui n'a pas été mis à jour depuis un an est une porte ouverte documentée.
2. Il n'y a pas de vraie sauvegarde. Soit personne n'en fait, soit elles sont stockées sur le même serveur que le site (donc perdues avec lui), soit personne n'a jamais vérifié qu'elles se restauraient.
3. L'accès administrateur est mal protégé. Un seul mot de passe, partagé, sans double authentification, sur un compte qui s'appelle « admin ».

Ajoutez à cela un certificat SSL expiré (ça arrive) ou un hébergement bas de gamme sans surveillance, et vous avez le cocktail classique.

À retenir. Un site de PME n'est presque jamais piraté « pour de bonnes raisons ». Il est piraté parce qu'un robot a trouvé une porte ouverte et est entré. Fermer les portes coûte peu ; les rouvrir après coup coûte cher.

Un système simple pour dormir tranquille

Voici la structure minimale qu'un site de PME suisse devrait avoir. Ce ne sont pas des options, ce sont des fondations.

1. Certificat SSL valide et renouvelé automatiquement

HTTPS avec un certificat valide. C'est le petit cadenas dans la barre d'adresse. Sans lui, les navigateurs affichent un avertissement rouge « Non sécurisé » qui fait fuir les visiteurs, et Google déclasse le site. Le renouvellement doit être automatique — un certificat expiré casse le site pour tout le monde en une nuit.

2. Sauvegardes automatiques quotidiennes, stockées ailleurs

Une sauvegarde correcte, c'est trois choses : elle se fait toute seule (pas de « je le ferai lundi »), elle est stockée sur un serveur différent de celui du site (sinon un incident emporte tout), et on garde plusieurs versions (au minimum les 7 derniers jours, idéalement 30). Pour un site qui change souvent — commerce en ligne, réservations — la fréquence peut monter à plusieurs fois par jour.

3. Mises à jour régulières du CMS et des extensions

WordPress, ses thèmes, ses plugins : chaque composant publie des correctifs de sécurité. Les appliquer dans un délai raisonnable (idéalement quelques jours) ferme les failles connues avant que les robots ne les exploitent. Sur un site géré, ces mises à jour sont testées puis déployées ; sur un site abandonné, elles s'empilent jusqu'à devenir ingérables.

4. Mots de passe forts et double authentification (2FA)

Un mot de passe long, unique, généré par un gestionnaire de mots de passe. Et surtout une double authentification pour tous les comptes administrateurs. Le 2FA — un code temporaire sur le téléphone en plus du mot de passe — stoppe la grande majorité des tentatives d'intrusion, même si un mot de passe a fuité.

5. Surveillance et pare-feu applicatif

Un pare-feu (WAF) bloque les tentatives d'attaque connues avant qu'elles n'atteignent le site. Une surveillance minimale envoie une alerte si le site tombe, si un fichier suspect apparaît, ou si le trafic devient anormal. Sans surveillance, on peut être piraté pendant des semaines sans le savoir.

6. Plan de restauration écrit et connu

La question la plus importante : « Combien de temps pour remettre le site en ligne après un incident ? » La réponse doit être en heures, pas en jours. Cela suppose que quelqu'un sache où sont les sauvegardes, comment les déployer, et sur quel hébergement.

7. Registre minimal des accès et de la conformité LPD

Qui a accès à quoi. Quels formulaires collectent des données personnelles. Où sont stockées ces données. La LPD révisée (Loi fédérale sur la protection des données, entrée en vigueur en 2023) demande à toute entreprise suisse de protéger raisonnablement les données personnelles qu'elle collecte. Un site avec un formulaire de contact est concerné.

Tableau : ce qu'une PME doit vérifier chez son prestataire

Point à vérifier	Standard minimum acceptable	Signal d'alerte
Certificat SSL	HTTPS actif, renouvellement automatique	Cadenas absent ou avertissement navigateur
Sauvegardes	Automatiques, quotidiennes, stockées hors serveur, plusieurs versions gardées	« Je fais une sauvegarde de temps en temps »
Restauration testée	Le prestataire a déjà restauré un site (le vôtre ou un autre)	Personne ne sait combien de temps ça prendrait
Mises à jour CMS	Appliquées dans les jours qui suivent leur sortie	Site sur une version de WordPress de plus d'un an
Accès admin	2FA activée, comptes nominatifs	Un seul mot de passe partagé « admin/admin123 »
Surveillance	Alerte automatique si le site tombe ou est modifié	Vous apprenez la panne par un client
Contrat / SLA	Délai d'intervention et de restauration écrit	Réponse vague ou uniquement par e-mail
Conformité LPD	Politique de confidentialité à jour, formulaires conformes	Pas de mention légale, pas de politique de données

Erreurs fréquentes à éviter

Croire que l'hébergement suffit. Un bon hébergeur protège l'infrastructure (les serveurs), pas votre site en tant que tel. Les failles applicatives — plugins vulnérables, mot de passe faible — restent votre responsabilité. Un hébergement de qualité est nécessaire mais ne remplace pas la maintenance du site.

Confondre sauvegarde et copie manuelle. Télécharger « le site » sur son ordinateur une fois par an n'est pas une sauvegarde. Une vraie sauvegarde inclut la base de données (contenus, formulaires reçus, comptes clients) synchronisée avec les fichiers, et elle est testée.

Attendre d'avoir un problème pour agir. La sécurité coûte peu quand elle est en place dès le début. Elle coûte cher quand il faut réparer un site piraté, restaurer des données perdues, ou expliquer à ses clients pourquoi leur adresse e-mail se retrouve dans une base de spam.

Perdre les accès. Quand le prestataire disparaît ou que l'ancien employé part sans transmettre les codes, on se retrouve avec un site dont personne n'est propriétaire techniquement. La règle : le client (la PME) doit toujours pouvoir récupérer ses accès et son nom de domaine.

Négliger le nom de domaine. Un domaine qui expire, c'est un site qui disparaît d'internet du jour au lendemain. Le renouvellement doit être automatique et lié à une adresse e-mail durable de l'entreprise, pas au compte personnel d'un ancien collaborateur.

À retenir. La plupart des désastres web des PME viennent d'une chose simple : personne n'est clairement responsable de la maintenance. « Le neveu s'en occupait » n'est pas une politique de sécurité.

Comment Grindly gère ces points

Chez Grindly, la sécurité et la sauvegarde ne sont pas une option en plus : elles font partie de l'abonnement standard. Pour 49 CHF/mois, tout compris, sans frais de création, on construit le site puis on le fait vivre dans le temps — hébergement, certificat SSL, sauvegardes automatiques, mises à jour de sécurité, surveillance, optimisation des performances, référencement SEO initial et suivi, et petites modifications de contenu à la demande.

Concrètement, cela veut dire que si votre site tombe, casse après une mise à jour, ou subit une tentative d'intrusion, quelqu'un s'en occupe sans que vous ayez à chercher qui appeler. Vous gardez la propriété de votre nom de domaine et de vos données ; nous gérons la partie technique. Pour les besoins plus lourds — logiciels métier, automatisations IA, applications mobiles — ce sont des prestations séparées, sur devis, avec un tarif préférentiel pour les abonnés.

Rien de tout ça n'est magique. C'est juste le travail continu qui manque quand on achète un site en une fois et qu'on le laisse vivre seul.

Questions fréquentes

Un certificat SSL est-il vraiment obligatoire pour un site de PME suisse ?

Oui, dans les faits. Techniquement, aucune loi ne rend HTTPS obligatoire pour un site vitrine. Mais les navigateurs (Chrome, Firefox, Safari) affichent un avertissement de sécurité pour tout site sans certificat valide, ce qui fait fuir les visiteurs et pénalise le référencement Google. Dès qu'un formulaire de contact collecte des données personnelles, la LPD suisse demande aussi des mesures techniques appropriées : HTTPS en fait partie.

À quelle fréquence faut-il sauvegarder un site ?

Au minimum une fois par jour pour un site vitrine classique. Pour un site qui change souvent — commerce en ligne, système de réservation, blog actif — plusieurs fois par jour, voire en continu. L'important n'est pas seulement la fréquence : il faut garder plusieurs versions (les 7 à 30 derniers jours), stocker les sauvegardes ailleurs que sur le serveur principal, et les tester régulièrement.

Combien de temps faut-il pour restaurer un site après un incident ?

Avec une sauvegarde récente et un prestataire préparé, quelques heures. Sans sauvegarde, cela peut prendre plusieurs jours, voire signifier de tout refaire. C'est la question à poser à tout prestataire avant de signer : « Si mon site tombe demain matin à 8h, à quelle heure est-il de retour ? »

Mon site est fait avec WordPress : est-il moins sûr ?

WordPress n'est pas moins sûr en soi ; il est simplement plus visé parce qu'il équipe une part énorme du web. Un WordPress bien tenu — mises à jour appliquées, plugins limités et à jour, 2FA sur les comptes admin, sauvegardes en place — est parfaitement sécurisé. Un WordPress abandonné pendant deux ans est effectivement une cible facile.

La LPD révisée change-t-elle ce que je dois faire sur mon site ?

Oui, sur trois points au moins : une politique de confidentialité claire indiquant quelles données sont collectées et pourquoi, un consentement explicite pour les cookies non essentiels, et des mesures techniques raisonnables pour protéger les données personnelles collectées (SSL, accès protégés, sauvegardes). Un site vitrine avec un simple formulaire de contact est concerné.

Puis-je récupérer mon site si je change de prestataire ?

Vous devez pouvoir. La règle : le nom de domaine doit être enregistré au nom de votre entreprise, et vous devez pouvoir obtenir une copie complète des fichiers et de la base de données de votre site à tout moment. Si un prestataire refuse ou complique cette portabilité, c'est un signal d'alerte.

En résumé

Sécuriser un site de PME suisse ne demande pas de compétences pointues côté client. Cela demande de vérifier que cinq choses sont en place : HTTPS valide, sauvegardes automatiques testées, mises à jour appliquées, 2FA sur les accès administrateurs, et un plan clair pour restaurer le site en cas de pépin. Le reste — surveillance, pare-feu, conformité LPD — vient s'ajouter naturellement quand ces fondations sont là.

Si vous voulez qu'on jette un œil à votre configuration actuelle et qu'on vous dise honnêtement ce qui manque, écrivez-nous ou passez par WhatsApp. Pas d'engagement, pas de discours commercial : un état des lieux clair de ce que vous avez, et de ce qu'il faudrait pour dormir tranquille.

Cet article est un guide pédagogique. Il ne remplace pas un audit de sécurité personnalisé ni un conseil juridique sur la conformité LPD de votre entreprise.

Dernière mise à jour 2026-09-09.