Plan de sécurité de votre site web

Un plan sur mesure, basé sur une analyse de ce qui protège déjà votre site et de ce qu’il reste à compléter.

Pourquoi un plan de sécurité?

Un site web est exposé en permanence : robots, tentatives de connexion, failles connues. Un plan de sécurité permet de savoir exactement ce qui protège déjà votre site, ce qui manque, et dans quel ordre agir.

Chez PAR Design, nous comparons d’abord la protection actuelle de votre site avec les mesures recommandées, puis nous ne proposons que ce qui est nécessaire : ce qui est déjà en place n’est jamais refacturé.

Lorsque votre site recueille des renseignements personnels (formulaires, infolettre, CRM), la Loi 25 s’applique : le plan vous aide à répondre à vos obligations.

Notre approche

1. Analyse

Nous examinons la protection actuelle de votre site : HTTPS, pare-feu, durcissement, en-têtes, comptes, formulaires, sauvegardes.

2. Comparatif

Vous recevez un comparatif clair : ce qui est déjà en place, ce qui est à faire et ce qui est à vérifier.

3. Mise en place

Nous configurons, déployons et accompagnons vos équipes, puis le suivi se poursuit avec votre plan d’entretien.

Les mesures de notre plan de sécurité

Chaque mesure est évaluée selon l’état réel de votre site : déjà en place, à faire ou à vérifier.

Chiffrement du trafic (HTTPS/SSL)

Ce que nous faisons : Certificat SSL et durcissement TLS : HTTPS forcé partout et versions faibles refusées.

Avantage : Ce qui circule entre le visiteur et le site reste privé et ne peut être ni lu ni modifié en chemin.

Sans HTTPS, une information envoyée sur le web est comme une carte postale que tous les intermédiaires peuvent lire. Avec le HTTPS strict, c’est une enveloppe cachetée.

Pare-feu et filtrage des attaques

Ce que nous faisons : Pare-feu applicatif (WAF) et analyse anti-maliciel pour filtrer le trafic malveillant, avec CDN (ex. Cloudflare) en option.

Avantage : La grande majorité des attaques automatisées est arrêtée à l’entrée, avant de toucher le site.

C’est un portier à l’entrée d’un immeuble : il vérifie qui se présente et refuse les indésirables.

Performance et mise en cache

Ce que nous faisons : Mise en cache et optimisation des images, avec CDN en option pour servir le site plus vite hors Québec.

Avantage : Le site reste rapide pour vos visiteurs : les pages sont servies depuis le cache plutôt que régénérées à chaque visite.

Au lieu de refabriquer chaque page à chaque visite, on garde des copies prêtes à servir.

Durcissement WordPress

Ce que nous faisons : Blocage de l’énumération des comptes, restriction des fichiers sensibles (readme.html), masquage de la version de WordPress et protection des fichiers de configuration.

Avantage : Les portes techniques que les pirates testent en premier sont verrouillées.

Les fenêtres et portes sont verrouillées ; on enlève aussi la plaque qui affiche la marque et le modèle de la serrure.

En-têtes de sécurité HTTP

Ce que nous faisons : Configuration de CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy et Permissions-Policy. Un réglage fin est nécessaire pour ne rien briser à l’affichage.

Avantage : Empêche qu’un autre site affiche le vôtre pour piéger les gens ou détourne son apparence pour les tromper.

C’est comme le filigrane et les règles d’un document officiel : on ne peut pas le photocopier, le maquiller, ni le faire passer pour autre chose. Ça évite qu’un faux site se cache derrière le vôtre pour tromper vos visiteurs.

Authentification à deux facteurs (2FA)

Ce que nous faisons : Activation et déploiement du 2FA sur les comptes administrateurs, politique de mots de passe et accompagnement des utilisateurs.

Avantage : Même si le mot de passe d’un membre de votre équipe est volé ou deviné, un intrus ne peut pas entrer sans le second code.

C’est le code que votre banque vous envoie par texto quand vous vous connectez : connaître votre NIP ne suffit pas, il faut aussi le téléphone dans votre poche.

Protection des formulaires

Ce que nous faisons : Chiffrement des soumissions, Turnstile/Captcha, honeypot et anti-pourriel sur vos formulaires, particulièrement importants lorsqu’ils transmettent des données vers des services externes (infolettre, CRM).

Avantage : Les renseignements personnels transmis par vos formulaires sont protégés, et les robots pourrielleurs sont écartés : un appui direct à vos obligations de la Loi 25.

C’est la différence entre un guichet sécurisé où l’on remet un document confidentiel en mains propres, et une boîte laissée ouverte sur le comptoir.

Sauvegardes et récupération

Ce que nous faisons : Sauvegardes du site et de la base de données, copies hors serveur (stockage distant chiffré) et test de restauration périodique.

Avantage : En cas de pépin (piratage, panne, fausse manœuvre), on remet le site en ligne à partir d’une copie récente, sans tout reconstruire.

C’est la copie de vos photos dans le nuage plutôt que seulement sur le téléphone. Et on vérifie même la restauration, comme s’assurer que le double de clé ouvre vraiment la porte.

Courriels sortants sécurisés

Ce que nous faisons : Mise en place d’un envoi authentifié (service SMTP) et validation des enregistrements SPF, DKIM et DMARC du domaine.

Avantage : Les courriels envoyés par le site arrivent vraiment au lieu de tomber dans les indésirables, et personne ne peut envoyer de faux courriels en votre nom.

Une lettre postée sans adresse de retour se fait mettre de côté par méfiance ; une lettre avec en-tête officiel et signature vérifiable est livrée sans hésiter.

Surveillance et entretien sécurité

Ce que nous faisons : Analyse anti-maliciel, monitoring de disponibilité, veille et application des correctifs, avec rapport périodique.

Avantage : On surveille en continu et on corrige les failles avant qu’elles ne servent, au lieu d’attendre le dégât.

C’est le système d’alarme relié à une centrale plutôt qu’un simple loquet : quelqu’un veille, vous avertit et intervient.

Les petits caractères

Ce plan sur mesure tient compte des mesures déjà présentes sur votre site au moment de l’analyse.

Les mesures reflètent les meilleures pratiques du web à ce jour ; avec leur évolution, une révision du plan pourra être proposée et mise en place avec l’accord des deux parties.