Une panne serveur, un rançongiciel ou une boîte mail indisponible peut arrêter une petite entreprise en quelques minutes. Pourtant, beaucoup de TPE/PME possèdent des sauvegardes sans avoir décidé comment continuer à travailler pendant l’incident.
Un plan de continuité informatique PME ne doit pas être un document de cinquante pages. Il doit permettre à l’équipe de retrouver les bons contacts, de protéger les données et de poursuivre les tâches essentielles. Voici un modèle simple à adapter en une heure.
Le plan de continuité d’activité, ou PCA, explique comment l’entreprise maintient son activité essentielle pendant une perturbation. Le plan de reprise d’activité, ou PRA, décrit le retour progressif à la normale après l’incident.
Dans la pratique, une même fiche peut couvrir les deux sujets. Elle répond à quatre questions : que faut-il maintenir, pendant combien de temps, avec quels moyens et qui décide ? Cette méthode est cohérente avec les recommandations de l’ANSSI sur la continuité et la reprise après une crise cyber.
Ne partez pas des logiciels. Partez du métier. Pour un artisan, il peut s’agir des demandes clients, des devis, des rendez-vous et de la facturation. Pour un cabinet, ce seront par exemple les dossiers, les échéances et les échanges sécurisés.
Demandez-vous : « Peut-on perdre une journée de données sans bloquer l’entreprise ? » Si la réponse est non, une sauvegarde hebdomadaire ne suffit pas. Définissez une fréquence adaptée pour les devis, factures, fichiers clients, documents de production et configurations techniques.
Une copie n’est utile que si elle est récupérable. La règle 3-2-1 reste un bon repère : trois copies, sur deux supports différents, dont une hors ligne ou protégée contre la compromission du réseau.
Conservez hors de la messagerie professionnelle une liste à jour : prestataire informatique, hébergeur, assureur, contacts clés, banque et responsables internes. Ajoutez un canal de secours, par exemple un numéro de téléphone et une adresse de messagerie personnelle réservée à la crise.
Préparez aussi un message court pour les clients : « Nous rencontrons un incident technique. Nos équipes sont mobilisées. Pour toute urgence, contactez-nous au [numéro]. » Mieux vaut une information simple que le silence.
Ces actions limitent la propagation et facilitent ensuite l’analyse. Pour le détail opérationnel, consultez également notre procédure de vigilance face à la fraude.
Prévoyez des alternatives modestes, mais utilisables : accès 4G, ordinateur de secours, copie locale de documents essentiels, paiement manuel temporaire, outil de devis en ligne ou espace de travail partagé. Chaque solution doit avoir un propriétaire et être testée.
Organisez un exercice de 30 minutes : « La messagerie et le serveur de fichiers sont indisponibles ce matin. Que faisons-nous ? » Vérifiez les numéros, les accès de secours et la restauration d’un fichier. Corrigez la fiche juste après l’exercice.
Le meilleur plan de continuité informatique PME est court, compréhensible et vivant. Il complète les sauvegardes : notre article sur le test de restauration WordPress vous aidera à vérifier ce point essentiel pour votre site.
Vous souhaitez clarifier vos priorités numériques, sécuriser votre site ou préparer votre organisation ? L’Agence Lapostolle accompagne les entreprises dans leur stratégie digitale et leurs bonnes pratiques de cybersécurité.
Un site lent, des mises à jour qui échouent ou une assistance absente au mauvais moment peuvent coûter des demandes de devis. Pourtant, choisir un hébergement WordPress professionnel ne consiste pas seulement à comparer un prix mensuel. Il faut choisir un niveau de service cohérent avec votre activité.
Voici sept questions à poser avant de déplacer ou de créer votre site. Elles aident les entreprises et indépendants à prendre une décision utile, sans jargon inutile.
L’hébergement fournit le serveur sur lequel votre site fonctionne. Il influence donc la disponibilité, la sécurité, la vitesse et la facilité de restauration. Un beau site ne compense pas un environnement technique instable.
WordPress recommande aujourd’hui une base moderne : PHP 8.3 ou plus récent, MariaDB 10.11 ou MySQL 8.0, ainsi que HTTPS. Ces prérequis ne suffisent pas à eux seuls. Ils constituent cependant un premier filtre sérieux.
Un site vitrine simple n’a pas les mêmes besoins qu’une boutique, un agenda de réservation ou un espace client. Si votre site génère des commandes ou des demandes chaque jour, privilégiez un hébergement qui prévoit une surveillance et une intervention claire en cas d’incident.
Demandez le niveau de disponibilité annoncé et les conditions réelles d’assistance. Vérifiez aussi les horaires de support. Une réponse sous plusieurs jours est rarement adaptée à une activité qui dépend du web.
La mémoire, la puissance de calcul et les limites de processus influencent le comportement de WordPress. Un hébergement mutualisé peut convenir pour démarrer. Toutefois, un site avec beaucoup d’images, de formulaires, de produits ou de campagnes publicitaires peut rapidement avoir besoin de davantage de ressources.
Ne choisissez pas uniquement une promesse de trafic « illimité ». Demandez ce qui se passe lors d’un pic de visites. Une solution adaptée doit pouvoir évoluer sans reconstruire tout le site.
Une sauvegarde doit couvrir les fichiers et la base de données. Vérifiez sa fréquence, sa durée de conservation et la procédure de restauration. Demandez aussi si une copie est stockée séparément de l’environnement principal.
Un bon réflexe consiste à effectuer régulièrement un test de restauration WordPress. Vous savez ainsi si la sauvegarde est réellement utilisable, avant un incident.
WordPress, les extensions, les thèmes et le serveur doivent rester maintenus. Clarifiez qui met à jour quoi. Certains hébergeurs gèrent le système, mais pas les extensions. D’autres proposent une maintenance plus complète. Ce point évite les zones grises entre l’hébergeur, l’agence et l’entreprise.
Vérifiez aussi la présence d’un certificat HTTPS, d’un pare-feu applicatif et d’une protection contre les tentatives de connexion abusives. La sécurité reste un ensemble de mesures, pas une option à cocher.
Vous devez pouvoir récupérer les fichiers, la base de données et les accès au nom de domaine. Conservez ces éléments au nom de l’entreprise. Ils facilitent une migration et évitent une dépendance excessive à un prestataire.
Avant de signer, demandez comment exporter le site et dans quel délai. Cette question est saine. Un prestataire fiable doit pouvoir y répondre clairement.
Pour une clientèle principalement française, une infrastructure européenne peut simplifier l’organisation des données et réduire une partie de la distance réseau. Cependant, la localisation ne remplace ni l’optimisation du site ni un bon cache. Elle compte parmi plusieurs critères.
En cas de problème, vous avez besoin d’une réponse compréhensible et d’un interlocuteur qui distingue un souci d’hébergement, de contenu ou d’extension. Évaluez le support avant l’achat : documentation, canaux de contact, délai de réponse et capacité à accompagner une migration.
Un site vitrine récent, avec un trafic modéré, peut commencer sur une offre mutualisée robuste assortie de sauvegardes et d’un support réactif. Une boutique, un site de réservation ou un site soutenu par des campagnes doit prévoir plus de ressources et une surveillance renforcée.
Enfin, un projet sur mesure, un site à forte audience ou une activité très sensible justifie souvent une solution administrée ou un serveur plus isolé. Le bon choix dépend de l’impact d’une heure d’indisponibilité sur votre entreprise.
Avant de décider, vérifiez la version de PHP, HTTPS, les sauvegardes, les conditions de restauration, les ressources réelles, la réversibilité et le support. Ajoutez la personne responsable des accès et de la maintenance. Vous transformez alors une dépense technique en base fiable pour votre visibilité.
Vous lancez ou faites évoluer votre présence en ligne ? L’Agence Lapostolle vous accompagne dans la création de site internet et vous aide à aligner hébergement, performance et objectifs commerciaux.
Crédit photo : Tim van der Kuip, Unsplash.
Boîte mail, hébergement, WordPress, nom de domaine, outils IA : une petite entreprise cumule vite des accès sensibles. Lorsque les mots de passe circulent par e-mail, message instantané ou fichier tableur, le risque augmente. La gestion des mots de passe partagés permet de conserver les accès utiles sans perdre le contrôle.
Voici une méthode simple pour les TPE, PME et indépendants. Elle protège l’activité sans compliquer le travail quotidien.
Un même identifiant peut donner accès au site, aux e-mails clients ou aux factures. Pourtant, il est souvent utilisé par plusieurs personnes. À chaque départ de collaborateur, changement de prestataire ou incident, personne ne sait toujours qui possède encore le mot de passe.
Le problème n’est pas le partage en lui-même. Une entreprise doit parfois donner accès à un développeur, un comptable ou une agence. Le risque vient d’un partage sans règles, sans suivi et sans possibilité de retirer rapidement un accès.
La CNIL conseille de limiter au strict nécessaire le nombre de personnes connaissant un secret partagé et de privilégier un gestionnaire de mots de passe. L’ANSSI recommande aussi des mots de passe uniques, robustes et l’authentification multifacteur lorsque celle-ci est disponible.
Commencez par les accès qui peuvent bloquer votre activité : messagerie professionnelle, hébergement, nom de domaine, site WordPress, fiches Google, réseaux sociaux, outils de devis et solutions de paiement. Pour chaque compte, identifiez le propriétaire, l’usage et les personnes qui en ont réellement besoin.
Cette étape révèle souvent des comptes ouverts avec une adresse personnelle ou détenus par un ancien prestataire. Corrigez ces situations en priorité. L’entreprise doit rester propriétaire de ses actifs numériques.
Évitez les tableurs, les notes partagées et les conversations de messagerie. Un gestionnaire de mots de passe professionnel chiffre les identifiants, crée des mots de passe uniques et permet de partager un accès sans communiquer le secret en clair.
Créez des espaces ou collections par usage : administration du site, marketing, finance ou réseau social. Donnez ensuite l’accès à une collection précise. Un prestataire n’a pas besoin de voir les identifiants de votre comptabilité.
Dès qu’un service le permet, créez un compte nominatif pour chaque utilisateur. Vous pouvez alors retirer l’accès d’une seule personne sans changer le mot de passe de toute l’équipe. Les comptes partagés doivent rester l’exception, par exemple pour un accès technique impossible à séparer.
Pour WordPress, créez des rôles adaptés plutôt que de diffuser le compte administrateur. Un rédacteur n’a pas besoin de modifier les extensions. Cette séparation réduit les erreurs et facilite le suivi des actions.
La double authentification ajoute une preuve supplémentaire après le mot de passe. Activez-la en premier sur la messagerie, le nom de domaine, l’hébergement, le gestionnaire de mots de passe et les comptes administrateurs du site.
Préparez aussi les codes de récupération. Placez-les dans un espace protégé du coffre-fort, accessible à deux personnes de confiance. Sans cette précaution, la perte d’un téléphone peut bloquer un compte essentiel.
Une fois par trimestre, vérifiez les accès sensibles. Supprimez ceux qui ne sont plus utiles. Lorsqu’un collaborateur ou un prestataire quitte l’équipe, retirez ses droits le jour même. Changez le secret partagé si la solution ne permet pas une révocation individuelle.
Conservez une courte procédure de départ. Elle doit indiquer qui désactive les comptes, qui récupère le matériel et qui vérifie les boîtes e-mail ou les redirections. Vous gagnez ainsi en réactivité, même dans une période chargée.
Ne confiez jamais un mot de passe par e-mail en clair. N’utilisez pas le même mot de passe pour le site, la messagerie et les réseaux sociaux. Enfin, ne désignez pas une seule personne comme détentrice des accès critiques. Une absence imprévue ne doit pas arrêter votre communication ou vos ventes.
Attention aussi aux droits trop larges. Donner un accès administrateur « pour aller plus vite » crée souvent un risque durable. Accordez le niveau minimum, puis augmentez-le temporairement si une intervention l’exige.
Commencez par sécuriser les cinq accès les plus critiques. Mettez-les dans un coffre-fort, activez la double authentification et nommez un propriétaire interne. Ensuite, créez une liste des comptes à contrôler chaque trimestre. Cette première base apporte déjà une protection concrète.
La sécurité des accès complète les autres réflexes essentiels. Retrouvez également nos mesures de cybersécurité prioritaires pour les PME. Si votre site fait partie de ces accès critiques, un accompagnement de création ou d’évolution de site internet peut aussi clarifier les rôles et les accès techniques.
Crédit photo : FlyD, Unsplash.
Une sauvegarde WordPress rassure. Pourtant, elle ne protège réellement votre activité que si vous pouvez la restaurer. Un fichier corrompu, une mise à jour qui échoue ou une erreur humaine peut rendre un site indisponible. Le test de restauration WordPress permet de vérifier votre capacité à repartir rapidement.
Cette vérification demande peu de temps. En revanche, elle évite de découvrir un problème le jour où chaque heure d’arrêt compte.
Une sauvegarde complète d’un site WordPress comprend les fichiers du site et sa base de données. Les deux éléments sont nécessaires. Les fichiers affichent le thème, les extensions et les médias. La base contient notamment les pages, les réglages et les contenus.
Les recommandations de WordPress rappellent aussi l’intérêt de conserver plusieurs copies, dans des emplacements distincts. Cependant, la présence d’un fichier ne prouve pas qu’il est exploitable. Seul un test apporte cette réponse.
Repérez une sauvegarde récente et notez sa date. Vérifiez qu’elle comporte bien les fichiers et la base de données. Si votre outil crée plusieurs archives, gardez-les ensemble. Une restauration mélangeant des dates différentes peut produire des erreurs discrètes.
Ne testez pas sur le site en production. Utilisez plutôt un sous-domaine de préproduction, un espace de staging chez votre hébergeur ou une installation locale. Ainsi, vos visiteurs continuent d’accéder au site pendant le contrôle.
Suivez la procédure de votre outil de sauvegarde ou de votre hébergeur. Importez les fichiers, puis la base de données associée. Adaptez ensuite l’URL et les accès de l’environnement de test si nécessaire. Documentez les étapes qui demandent une action manuelle.
Ouvrez la page d’accueil, plusieurs pages clés et un article récent. Vérifiez le menu, les images et la version mobile. Connectez-vous aussi à l’administration WordPress. Enfin, testez le formulaire de contact sans envoyer de données réelles à vos clients.
Choisissez un contenu publié ou modifié récemment. Il doit apparaître dans la copie restaurée si sa date est antérieure à la sauvegarde. Ce contrôle simple révèle souvent une base de données absente, incomplète ou plus ancienne que prévu.
Notez la date du test, la sauvegarde utilisée, la durée de restauration et les blocages rencontrés. Ajoutez la personne ou le prestataire à contacter en cas d’incident. Votre procédure devient alors actionnable, même dans l’urgence.
Planifiez un test de restauration WordPress avant une mise à jour majeure, une migration ou l’ajout d’une extension importante. Répétez-le aussi à intervalles réguliers, selon la fréquence de vos mises à jour. Plus votre site génère des demandes ou des ventes, plus ce rendez-vous doit être rapproché.
Avant toute mise à jour, WordPress recommande d’effectuer une sauvegarde. Vous trouverez cette précaution dans sa documentation de mise à jour. Le test va plus loin : il confirme que le retour en arrière reste possible.
La première erreur consiste à sauvegarder seulement la base de données. À l’inverse, conserver uniquement les fichiers ne suffit pas non plus. La deuxième consiste à garder toutes les copies chez le même hébergeur. Un incident d’hébergement peut alors toucher le site et les sauvegardes.
La troisième erreur est de ne jamais tester. Enfin, beaucoup d’entreprises ne conservent ni les accès d’administration ni la procédure de restauration à jour. Une sauvegarde devient alors difficile à utiliser au mauvais moment.
Conservez plusieurs copies de vos sauvegardes dans des emplacements distincts. Vérifiez que les accès à l’hébergement, à WordPress et au stockage sont disponibles pour les bonnes personnes. Gardez aussi une liste des extensions essentielles et des contacts techniques.
Cette organisation complète les mesures de prévention. Pour renforcer la protection au quotidien, consultez aussi notre guide sur la cybersécurité des PME.
Un site fiable soutient votre visibilité et vos demandes de contact. Si vous créez un nouveau site ou souhaitez fiabiliser l’existant, l’Agence Lapostolle vous accompagne dans la création de site internet et dans la mise en place d’une base WordPress durable.
Crédit photo : Domaintechnik, Unsplash.
La cybersécurité concerne toutes les entreprises. Une TPE, une PME ou un indépendant utilise déjà des données clients, des factures et des boîtes e-mail. Elle gère aussi des accès bancaires, un site web ou des outils métiers. Chacun de ces éléments peut ouvrir la voie à une fraude, à une usurpation de compte, à une fuite de données ou à un rançongiciel.
Bonne nouvelle : tout ne doit pas être transformé en une semaine. Toutefois, quelques décisions concrètes réduisent fortement les risques les plus fréquents. Voici les dix mesures à prioriser.
D’abord, dressez une liste simple. Notez les ordinateurs, téléphones, boîtes mail, site WordPress, réseaux sociaux, logiciel de facturation et espace cloud. Ajoutez le nom de domaine, les accès bancaires et les fichiers clients. Pour chaque élément, indiquez la personne responsable et le compte administrateur associé.
Cette cartographie évite un problème fréquent. Lors d’un départ ou d’un incident, un accès important peut dépendre d’une seule personne. Il peut aussi être lié à une adresse e-mail personnelle.
Un compte administrateur peut installer un logiciel, modifier un site ou gérer une messagerie. Il ne doit donc pas servir à consulter ses e-mails ni à naviguer sur Internet. Utilisez un compte standard pour le travail courant. Réservez le compte administrateur aux actions qui l’exigent.
Évitez également les comptes partagés. Des identifiants individuels facilitent le retrait rapide d’un accès, la traçabilité et la limitation des droits au strict nécessaire.
La réutilisation est le vrai danger. Si un mot de passe fuit chez un prestataire, il peut être testé sur votre messagerie, votre banque, votre hébergeur ou votre site. Un gestionnaire de mots de passe crée et conserve des mots de passe longs et aléatoires. Ainsi, vous n’avez pas besoin de les mémoriser.
Pour les comptes sensibles, en particulier les comptes administrateurs, bannissez les mots de passe par défaut et documentez une procédure de récupération maîtrisée par l’entreprise.
L’authentification multifacteur est aussi appelée MFA ou double authentification. Elle ajoute une vérification après le mot de passe : application, clé de sécurité ou code temporaire. Activez-la d’abord sur la messagerie et les comptes administrateurs. Puis protégez l’hébergement, le cloud, les réseaux sociaux et les accès à distance.
C’est une mesure particulièrement utile lorsqu’un mot de passe a été volé par hameçonnage.
Les mises à jour corrigent des failles connues. Elles concernent le système d’exploitation, le navigateur, la messagerie, l’antivirus et le routeur. Elles concernent aussi les extensions et le thème WordPress. Activez les mises à jour automatiques lorsque cela est pertinent. Enfin, vérifiez régulièrement les outils qui demandent une validation manuelle.
Sur un site WordPress, supprimez aussi les extensions et thèmes inutilisés. Un élément inactif mais installé peut encore devenir une source de vulnérabilité.
Une sauvegarde n’est utile que si elle peut être restaurée. Pour les données importantes, l’ANSSI recommande le principe 3-2-1. Prévoyez trois copies sur deux supports différents. Conservez une copie déconnectée ou protégée du réseau. Enfin, adaptez la fréquence à votre activité : perdre une journée de travail n’a pas toujours le même impact.
Testez une restauration sur un fichier ou un environnement de test. Sauvegardez aussi les configurations, licences et éléments nécessaires à la remise en route des outils.
Le phishing ne se reconnaît pas toujours à une faute d’orthographe. Une demande urgente de paiement doit vous alerter. Il en va de même pour une facture inattendue, un lien de connexion ou un changement de RIB. Vérifiez alors par un autre canal : téléphone, numéro connu ou échange direct avec le fournisseur.
Définissez une règle claire : personne ne valide un paiement, un changement de coordonnées bancaires ou une transmission de données sensibles sur la seule base d’un e-mail.
À chaque départ, changement de prestataire ou fin de mission, désactivez les comptes concernés. Pensez à la messagerie, WordPress, aux réseaux sociaux, aux outils SaaS, au VPN et au stockage cloud. Vérifiez également les comptes revendeurs. Ensuite, faites régulièrement le point sur les utilisateurs ayant un rôle administrateur.
La sécurité dépend aussi des réflexes humains. Un court point trimestriel suffit pour rappeler les bons gestes : vérifier un expéditeur, signaler un doute, verrouiller son poste, ne pas utiliser une clé USB inconnue et ne pas partager ses identifiants.
L’objectif n’est pas de transformer l’équipe en experts techniques, mais de rendre normal le fait de demander une vérification avant une action risquée.
En cas de suspicion d’intrusion, de fraude ou de rançongiciel, improviser fait perdre du temps. Préparez donc une fiche accessible. Elle doit contenir les contacts utiles : dirigeant, prestataire informatique, hébergeur, banque et assurance. Ajoutez un interlocuteur juridique ou un DPO si nécessaire.
La fiche doit préciser les premières actions : isoler l’équipement suspect du réseau sans effacer les éléments utiles, prévenir les personnes désignées, conserver les preuves disponibles et ne pas diffuser d’informations non vérifiées.
Commencez par la MFA, des mots de passe uniques stockés dans un gestionnaire, les mises à jour, une sauvegarde testée et une règle de vérification des demandes sensibles. Ces mesures ont un impact immédiat sur de nombreux risques courants.
Oui. Les attaques automatisées ne sélectionnent pas seulement de grandes organisations : elles cherchent souvent les systèmes les moins protégés. La taille réduite d’une entreprise n’empêche pas une fraude, un vol d’accès ou le chiffrement de données essentielles.
Les premières mesures peuvent être engagées en interne. Un accompagnement devient utile pour évaluer les risques spécifiques, sécuriser un site web, organiser les accès, formaliser des procédures ou réagir à un incident.
Une entreprise mieux protégée n’est pas celle qui multiplie les outils, mais celle qui applique durablement des règles simples et vérifiables. Commencez par les accès, les sauvegardes, les mises à jour et la messagerie, puis faites évoluer le dispositif selon vos outils et vos risques.
L’Agence Lapostolle accompagne les entreprises dans leurs projets numériques, de la sécurisation d’un site WordPress à la mise en place de pratiques adaptées à leur organisation. Pour faire le point sur votre environnement, découvrez nos conseils et services.
