Votre site internet n'a pas été mis à jour depuis un an : ce que ça coûte

Votre site a été livré il y a deux ou trois ans. Il s'affiche, le formulaire de contact fonctionne, personne ne s'en plaint. L'agence qui l'a construit n'a plus donné signe de vie depuis la facture finale, et honnêtement, vous n'y pensez plus.

C'est exactement la situation qui coûte cher. Pas aujourd'hui, mais le jour où ça casse.

Un site n'est pas un objet posé, c'est un logiciel exposé

La confusion vient de là. Un dirigeant se représente son site comme une plaquette imprimée : une fois livrée, elle ne bouge plus. En réalité, un site est un programme qui tourne en permanence sur un serveur accessible depuis le monde entier, construit sur des briques logicielles qui reçoivent des correctifs de sécurité toutes les semaines.

WordPress, sur lequel repose une grande partie des sites de PME, est le système le plus utilisé au monde. C'est aussi, mécaniquement, la cible la plus rentable : chaque faille publiée dans une extension populaire ouvre des centaines de milliers de sites d'un coup.

Et surtout, ces attaques ne vous visent pas. Elles sont automatisées. Des robots parcourent internet en continu, testent les versions installées et exploitent ce qui traîne. « Je suis trop petit pour intéresser quelqu'un » ne protège de rien : le robot ne sait pas que vous êtes petit, il sait que votre extension n'a pas été mise à jour depuis quatorze mois.

Ce qui arrive vraiment, dans l'ordre de fréquence

Votre site se met à envoyer du spam. C'est le scénario le plus courant, et le plus sournois. Le serveur est détourné pour expédier des milliers de courriels. Résultat : votre nom de domaine est mis sur liste noire, et vos e-mails professionnels n'arrivent plus chez vos clients. Beaucoup de dirigeants découvrent le piratage de cette manière, en se demandant pourquoi un devis important est resté sans réponse.

Des pages parasites sont injectées. Votre site continue de s'afficher normalement pour vous, mais des centaines de pages invisibles vendent des contrefaçons ou des médicaments à votre place. Google, lui, les voit très bien.

Chrome affiche un avertissement rouge. Quand Google classe votre site comme dangereux, un message plein écran s'interpose avant votre page d'accueil. Votre trafic tombe à zéro en quelques heures.

Le formulaire de contact fuit. Les coordonnées que vos prospects vous ont confiées sont récupérées. Vous entrez alors dans une obligation légale de notification à la CNIL sous 72 heures, avec le même réflexe à avoir que pour n'importe quel incident : nous l'avons détaillé dans que faire dans les premières 24 heures d'une cyberattaque.

Le site tombe et personne n'a de sauvegarde. Ni vous, ni l'agence partie depuis longtemps, ni l'hébergeur qui n'en conserve souvent que sept jours.

Les trois oublis administratifs qui coupent un site

Avant même le piratage, trois échéances font tomber des sites chaque semaine, sans qu'aucun pirate n'intervienne.

Le certificat de sécurité expire. Les navigateurs affichent alors un avertissement qui fait fuir la totalité des visiteurs.

Le nom de domaine n'est pas renouvelé, parce que la carte bancaire enregistrée était celle de l'ancien prestataire, ou que l'alerte est partie sur une adresse e-mail que plus personne ne lit. Le site disparaît, et le domaine peut être racheté par n'importe qui, y compris un concurrent.

L'hébergement est resté au nom de l'agence. Vous payez peut-être sans le savoir, ou pire, vous ne payez plus et vous l'apprendrez le jour de la coupure.

Le test tient en une question : savez-vous, aujourd'hui, qui paie votre hébergement et votre domaine, et à quelle date ils expirent ? Si la réponse n'est pas immédiate, c'est le premier sujet à traiter.

Le calcul, dans les deux sens

Une maintenance qui couvre l'hébergement, les mises à jour de sécurité, les sauvegardes testées et la supervision se situe entre 60 et 150 euros HT par mois pour un site de PME, soit de l'ordre de 700 à 1 800 euros HT sur l'année.

En face, le nettoyage d'un site piraté est facturé le plus souvent entre 1 500 et 3 000 euros HT, sans garantie de tout récupérer. Quand l'infection est ancienne ou profonde, la seule issue raisonnable est de refaire le site, soit 3 000 à 6 000 euros HT engagés en urgence, dans le pire des calendriers.

Mais le coût le plus lourd n'est pas sur la facture. C'est le référencement. Un site déclassé pour cause de contenu malveillant met des mois à retrouver sa place, quand il la retrouve. Pendant ce temps, vos concurrents occupent le terrain. Nous avons proposé une méthode pour chiffrer ce type d'immobilisation dans combien coûte une journée d'informatique à l'arrêt.

Cinq vérifications à faire cette semaine

Aucune ne demande de compétence technique.

1. Cherchez votre entreprise sur Google et regardez les pages listées. Si des titres que vous ne reconnaissez pas apparaissent, votre site est déjà compromis.
2. Envoyez-vous un message depuis votre formulaire de contact et vérifiez qu'il arrive. Un formulaire muet est une source de prospects perdue depuis des mois.
3. Demandez à voir une sauvegarde restaurée, pas seulement l'existence d'une sauvegarde. Une sauvegarde jamais testée est une hypothèse, pas une sécurité.
4. Vérifiez les dates d'expiration de votre nom de domaine et de votre certificat, et à quel nom ils sont enregistrés.
5. Ouvrez votre site sur un téléphone. Plus de la moitié de vos visiteurs le font, et un site conçu il y a quelques années s'y comporte souvent mal.

Ce qu'un vrai contrat de maintenance doit couvrir

Beaucoup de forfaits vendus sous ce nom se limitent à l'hébergement. Les points à exiger noir sur blanc :

• les mises à jour de sécurité appliquées en continu, pas une fois par an à la demande ;
• des sauvegardes stockées ailleurs que sur le serveur du site, et restaurées pour vérification au moins une fois par an ;
• la supervision de la disponibilité et du certificat, avec une alerte qui part avant que vos clients ne vous préviennent ;
• un délai d'intervention chiffré en cas de faille critique ;
• la propriété du code, du domaine et des accès, à votre nom, avec réversibilité garantie.

Ce qu'il faut retenir

Un site internet n'est pas un investissement ponctuel, c'est un actif qui demande le même entretien que vos postes de travail et vos serveurs. La question n'est pas de savoir si une faille sera publiée sur les briques qui font tourner votre site, elle le sera, mais si quelqu'un applique le correctif quand elle l'est.

C'est la raison pour laquelle nous traitons les sites de nos clients comme le reste de leur informatique, dans la même supervision et avec le même interlocuteur, plutôt que comme un projet livré puis abandonné. Le détail de cette approche est sur notre page sites web et applications métier, et si vous voulez simplement savoir où en est votre site aujourd'hui, un audit de votre situation prend une trentaine de minutes.