Résumé rapide#
Le cadenas dans la barre d'adresse est devenu le symbole du site sécurisé. Il ne prouve pourtant qu'une chose : la conversation entre le visiteur et le serveur est chiffrée. Il ne dit rien de la mise à jour du site, de l'existence d'une sauvegarde, de ce qu'il advient des données d'un formulaire, ni de qui peut se connecter à l'administration. Ce guide sépare ce que le cadenas garantit de ce qu'il laisse entièrement ouvert, avec ce que la loi québécoise exige depuis la Loi 25.
1. Ce que le certificat garantit, et ce qu'il ne garantit pas#
Un certificat de sécurité — ce qui produit le `https` et le cadenas — chiffre les échanges entre le navigateur du visiteur et votre serveur. Personne sur le réseau entre les deux ne peut lire ce qui passe. C'est utile, c'est nécessaire, et c'est aujourd'hui gratuit : un fournisseur qui vous le facture en supplément vous vend quelque chose que tout le monde obtient sans frais.
Ce que le cadenas ne dit pas :
- que le site est à jour ;
- qu'une sauvegarde existe ;
- que les données de vos formulaires sont bien traitées une fois arrivées ;
- que personne d'autre n'a les clés de l'administration.
Un site piraté affiche exactement le même cadenas qu'un site sain. C'est la confusion la plus répandue du sujet, et elle est entretenue par des pages de vente qui présentent « SSL inclus » comme un argument de sécurité.
2. Les quatre risques réels pour un site de PME#
Le logiciel qui n'est plus à jour. C'est de très loin la première cause. Un site bâti sur une plateforme à extensions accumule des composants dont chacun vieillit. Une faille publiée sur une extension populaire est exploitée par des programmes automatiques en quelques jours — sans que personne ne vous ait visé. Vous n'êtes pas une cible, vous êtes une adresse dans une liste.
Le mot de passe d'administration. Réutilisé ailleurs, partagé avec un ancien fournisseur, jamais changé depuis la mise en ligne. Un accès administrateur oublié au nom d'une agence avec qui vous avez cessé de travailler est un risque ordinaire et très fréquent.
L'absence de sauvegarde utilisable. Beaucoup de sites ont « des sauvegardes » que personne n'a jamais essayé de restaurer. Une sauvegarde qu'on n'a pas testée n'est pas une sauvegarde, c'est une intention.
Le formulaire qui envoie des renseignements n'importe où. Le formulaire de contact d'un site de PME recueille des noms, des courriels, des numéros de téléphone, parfois beaucoup plus. Ce qui arrive à ces données après l'envoi est rarement documenté — et c'est précisément ce que la loi vous demande maintenant de documenter.
3. Ce que la Loi 25 exige, concrètement#
La Loi 25 modernise le régime québécois de protection des renseignements personnels. Elle s'applique à toute entreprise qui recueille des renseignements sur des personnes, ce qui inclut un simple formulaire de contact. Quatre obligations touchent directement le site.
Une personne responsable, nommée. Votre entreprise doit désigner un responsable de la protection des renseignements personnels, et cette information doit être accessible sur le site. Dans une PME, c'est souvent le propriétaire ; ce qui compte est que ce soit écrit.
Une politique de confidentialité qui décrit la réalité. Pas un texte générique copié ailleurs : ce que vous recueillez, pourquoi, combien de temps vous le gardez, et à qui vous le communiquez. Une politique qui mentionne des services que vous n'utilisez pas est pire qu'utile.
Un consentement préalable pour les témoins non essentiels. Les témoins strictement nécessaires au fonctionnement du site n'exigent pas de consentement. Ceux qui servent à la mesure d'audience ou à la publicité, oui — avant leur dépôt. Un bandeau qui enregistre un choix sans l'appliquer ne remplit pas l'obligation, et c'est un cas plus fréquent qu'on ne l'imagine : le bouton « Essentiels seulement » existe, et les traceurs se chargent quand même.
Une évaluation avant de communiquer des renseignements hors Québec. Ce n'est pas une interdiction. C'est une obligation de vérifier que le traitement à l'étranger offre une protection adéquate. Un hébergement en région canadienne simplifie beaucoup cette question.
Nous avons traité l'autre grande obligation québécoise, celle de la langue, dans notre guide sur la Loi 96.
4. Les six questions à poser à votre fournisseur#
Elles se répondent en une phrase chacune. Si l'une reste floue, vous savez où creuser.
- Qui applique les mises à jour, et à quelle fréquence ? « Automatiquement » n'est pas une réponse : certaines mises à jour cassent un site et exigent une vérification.
- Où sont les sauvegardes, et quand a-t-on restauré pour la dernière fois ? La seconde moitié de la question est la vraie.
- Combien de personnes ont un accès administrateur, et qui sont-elles ? Demandez la liste. Elle contient souvent une surprise.
- En quelle région est hébergé le site ?
- Où arrivent les données des formulaires, et combien de temps y restent-elles ?
- Si le site tombe un samedi, qui le voit et en combien de temps ? La surveillance de disponibilité est-elle incluse, ou découvrez-vous la panne par un client ?
5. Pourquoi moins de pièces veut dire moins de risque#
La plupart des incidents sur les sites de PME ne viennent pas d'une attaque sophistiquée mais d'un composant tiers oublié. Un site avec quinze extensions a quinze calendriers de mise à jour, quinze auteurs, et quinze occasions de vulnérabilité — dont plusieurs finiront par être abandonnés par leur créateur.
Un site construit sans cette accumulation a moins de surface exposée. Ce n'est pas une garantie d'invulnérabilité, c'est une réduction de la probabilité, et c'est ce qui compte pour une entreprise qui n'a personne pour surveiller ça.
La même logique vaut pour les traceurs : chaque script publicitaire ajouté à une page est du code tiers exécuté chez vos visiteurs, que vous ne contrôlez pas et qui alourdit vos obligations en matière de consentement.
6. Ce que nous faisons, pour être précis#
Chez Ready14, sont inclus dans les 99 $ par mois : l'hébergement en région canadienne, le certificat de sécurité, les mises à jour, les sauvegardes et la surveillance de disponibilité. Le site est construit sans écosystème d'extensions tierces, ce qui réduit d'autant la surface à surveiller.
Nous ne vendons pas la sécurité comme une option, parce qu'un site qu'on n'entretient pas cesse d'être sécurisé en quelques mois — quel que soit le cadenas affiché le jour de la livraison.
Si vous avez déjà un site et que les questions de la section 4 restent sans réponse, commencez par là avant d'envisager quoi que ce soit d'autre. C'est souvent la démarche qui révèle qu'une refonte n'est pas nécessaire — ou qu'elle l'est depuis longtemps.