Un site qui s'affiche vite, avec un beau design et un formulaire qui fonctionne, donne un sentiment de sécurité. Ce sentiment est trompeur. Comme nous l'expliquions dans le pilier de ce dossier, « ça marche » et « c'est sûr » sont deux choses différentes. Un attaquant ne regarde pas ce que vous voyez à l'écran. Il regarde ce qui tourne dessous, et il ne vous vise pas personnellement : il balaie le web en masse, à la recherche de failles connues qui traînent.
Bonne nouvelle : les failles les plus fréquentes d'un site vitrine ne sont pas des attaques sophistiquées. Ce sont des négligences ordinaires, connues, documentées, qui se corrigent avec de la méthode. En voici trois qui concernent la quasi-totalité des sites d'entreprise, expliquées sans jargon.
1. Les composants vieillis : du code que personne ne met à jour
Votre site n'est pas écrit intégralement à la main. Il assemble des briques logicielles toutes faites : une bibliothèque pour les animations, un module pour le carrousel d'images, un plugin pour le formulaire. Ces briques sont pratiques. Le problème, c'est que personne ne les met à jour une fois le site livré.
L'exemple le plus parlant est jQuery, une bibliothèque JavaScript présente sur une immense majorité de sites. Selon le rapport OSSRA 2025 de Black Duck, c'est le composant vulnérable le plus fréquemment détecté, présent dans environ 32 % des bases de code analysées, et huit des dix vulnérabilités à haut risque du rapport lui étaient liées. Une analyse Snyk portant sur un large échantillon de sites grand public a trouvé que près de 77 % d'entre eux embarquaient au moins une bibliothèque JavaScript avec une vulnérabilité connue. L'agence américaine de cybersécurité CISA a même alerté sur des attaques actives ciblant de vieilles versions de jQuery, exploitant une faille de type injection de script corrigée dès 2020.
Traduisez : une faille corrigée par l'éditeur il y a des années reste ouverte sur votre site tant que personne n'a appliqué la mise à jour. C'est exactement ce que vise le virage de l'OWASP Top 10 publié le 6 novembre 2025, qui a hissé la « chaîne d'approvisionnement logicielle » au rang de préoccupation numéro un : le danger n'est plus seulement le code de votre développeur, c'est le composant tiers que tout le monde installe et que personne ne surveille.
Ce qu'un dirigeant doit demander : quelles briques logicielles tournent sur mon site, dans quelle version, et qui applique les mises à jour de sécurité, à quelle fréquence ? Si la réponse est « on ne sait pas » ou « personne », vous avez trouvé votre première faille.
2. L'usurpation d'e-mail : quand n'importe qui peut écrire « en votre nom »
Voici une faille invisible qui ne se voit pas sur le site, mais qui utilise votre réputation contre vous. Par défaut, le système de messagerie mondial ne vérifie pas qu'un e-mail envoyé « de la part de votre entreprise » vient réellement de vous. Un escroc peut donc écrire à vos clients, à votre comptable ou à votre banque en se faisant passer pour vous, avec votre nom de domaine dans l'adresse d'expéditeur.
La parade existe et repose sur trois réglages techniques posés sur votre nom de domaine : SPF (qui déclare quels serveurs ont le droit d'envoyer en votre nom), DKIM (qui signe cryptographiquement vos messages) et DMARC (qui dit aux messageries quoi faire d'un message non conforme). Le hic, c'est que la majorité des domaines ne les configurent pas correctement. Selon les études d'authentification e-mail de 2025 et 2026 (DMARCguard, EasyDMARC, Red Sift), entre 30 et 52 % des domaines publient un enregistrement DMARC selon l'échantillon, mais seuls environ 12 à 13 % appliquent une politique qui bloque réellement l'usurpation. Autrement dit, une large majorité des domaines restent effectivement exposés, souvent parce qu'ils sont configurés en simple « surveillance » sans blocage.
Le piège classique : publier un enregistrement DMARC et croire que c'est réglé. Publier n'est pas protéger. Tant que la politique reste en mode observation, l'usurpation passe.
3. Le HTTPS incomplet et les en-têtes manquants
Le petit cadenas dans la barre d'adresse ne suffit pas. Il indique que la connexion est chiffrée, ce qui est le minimum, mais un site correctement durci va plus loin avec des en-têtes de sécurité. Ce sont des instructions que votre serveur envoie au navigateur du visiteur pour lui dire, par exemple, de toujours utiliser la version sécurisée du site, de refuser d'exécuter des scripts venus de sources non autorisées, ou d'empêcher que votre site soit affiché dans un cadre invisible sur un site frauduleux.
Ces réglages ne coûtent rien à activer. Ils sont pourtant absents d'une grande partie des sites vitrines livrés « clés en main », parce qu'ils ne se voient pas et que rien ne casse quand ils manquent. C'est précisément la catégorie « mauvaise configuration de sécurité », deuxième du classement OWASP 2025 : des réglages laissés par défaut, jamais durcis.
Le bon réflexe : vérifier, pas deviner
Ces trois failles ont un point commun : elles sont silencieuses. Le site marche, les e-mails partent, le cadenas s'affiche. Rien ne vous alerte. C'est pour cela que la sécurité d'un site ne se constate pas à l'œil, elle se vérifie avec des outils, exactement comme un contrôle technique révèle l'état réel d'un véhicule qui roule très bien en apparence.
| Faille banale | Question à poser | Ce qui la corrige |
|---|
| Composants vieillis | Quelles briques, quelle version, qui met à jour ? | Inventaire des dépendances et mises à jour régulières |
| Usurpation d'e-mail | Un tiers peut-il écrire en mon nom ? | SPF, DKIM et DMARC en politique de blocage |
| HTTPS incomplet | Mes en-têtes de sécurité sont-ils posés ? | Durcissement de la configuration serveur |
Aucune de ces corrections n'est un chantier lourd. Ce sont des gestes d'hygiène d'ingénierie, du même ordre que la maintenance : on inventorie, on met à jour, on durcit, on vérifie. C'est la différence entre un site assemblé à partir de composants qu'on oublie et un site vitrine construit proprement, tenu dans le temps. C'est aussi ce que nous appliquons par défaut sur les applications métier qui manipulent des données sensibles.
Vous voulez savoir lesquelles de ces trois portes sont ouvertes chez vous ? C'est précisément ce que révèle un audit gratuit : un état des lieux factuel, sans jargon et sans catastrophisme. Pour en parler ou lancer une vérification, contactez-nous, et pour comprendre notre approche du développement à La Réunion, notre page agence web à La Réunion détaille notre méthode. Demain, nous passons à la deuxième porte : ce qui se passe quand vous branchez une IA sur vos mails et vos fichiers.
