Checklist sécurité minimaliste

Comptes admin, 2FA, sauvegardes, monitoring. Le minimum vital pour partir pêcher tranquillement.

Inutile d’empiler 80 recommandations “cybersécurité” si les fondamentaux ne sont pas en place. Dans la majorité des incidents observés sur des sites web de TPE, de PME, et même dans des environnements plus solides, le problème n’est pas un pirate “génial”. Le problème, c’est souvent un accès trop large, l’absence de 2FA, des sauvegardes inutilisables, et personne pour voir venir l’incident.

L’objectif de cet article est simple : proposer une checklist 2026 minimaliste, orientée terrain, qui réduit fortement les risques sans transformer la gestion du site en usine à gaz. Une fois les réglages faits proprement, la technique se fait oublier. Et c’est exactement ce qu’on cherche. Découvrez notre offre maintenance qui fait la différence.

La checklist 2026 en 12 points

La checklist est organisée en 4 blocs. Elle peut être mise en place en une à deux heures, puis maintenue avec une routine mensuelle.

Bloc 1. Comptes admin et gestion des accès

1. Inventaire complet des accès
L’inventaire doit couvrir le CMS, l’hébergement, le DNS, la messagerie, les accès fichiers, la base de données, les outils de sauvegarde et les outils de mesure. Un site n’est jamais “juste un CMS”. Les points d’entrée sont multiples.

2. Suppression ou désactivation des comptes inutiles
Comptes d’anciens prestataires, comptes tests, comptes créés “au cas où”. Un compte en trop est une porte en trop.

3. Application du moindre privilège
Un administrateur principal, puis des rôles limités pour les autres. Les comptes administrateurs partagés sont à proscrire. Ils empêchent de tracer les actions et augmentent le risque d’erreur.

Conseil terrain : si un utilisateur “admin” existe encore, il mérite d’être renommé. C’est l’un des premiers identifiants testés dans les attaques automatisées.

Bloc 2. 2FA partout où ça compte

4. Activation de la 2FA sur le CMS
En 2026, un accès d’administration sans 2FA est un point faible évident.

5. Activation de la 2FA sur l’hébergeur et le DNS
Le DNS est trop souvent oublié. Or, un DNS compromis permet de détourner un site et, parfois, de perturber la messagerie.

6. Activation de la 2FA sur la messagerie
Un compte email compromis sert souvent à réinitialiser des mots de passe et à récupérer la main sur des services critiques.

Conseil terrain : privilégier une 2FA par application et conserver des codes de secours dans un endroit réellement sûr.

Bloc 3. Sauvegardes utiles, pas décoratives

Une sauvegarde doit permettre de revenir à un état sain. Sinon, ce n’est pas une sauvegarde, c’est une illusion.

7. Sauvegarde des fichiers et de la base de données
Les deux sont nécessaires. Sans base, le contenu disparaît. Sans fichiers, le site ne tourne pas.

8. Copie hors site
Une sauvegarde stockée sur le même serveur que le site peut disparaître avec lui. Une copie hors site est une base saine, notamment face aux incidents d’hébergement et aux scénarios de ransomware.

9. Rétention raisonnable
Une logique simple fonctionne très bien, par exemple des sauvegardes quotidiennes sur une semaine, hebdomadaires sur un mois, mensuelles sur plusieurs mois. L’idée est de pouvoir remonter avant la date du problème.

10. Test de restauration mensuel
C’est le point le plus négligé et pourtant le plus important. Une sauvegarde non testée est une supposition.

Conseil terrain : le test de restauration se fait idéalement sur un clone ou une préproduction. Restaurer en production “pour voir” est rarement une bonne idée.

Bloc 4. Monitoring et surveillance minimale

Beaucoup d’entreprises découvrent un incident lorsqu’un client appelle. Un minimum de surveillance évite cette situation.

11. Monitoring de disponibilité et surveillance du certificat
L’objectif est d’être alerté si le site tombe, si le HTTPS a un souci, ou si une échéance approche, comme l’expiration d’un domaine ou d’un certificat.

12. Alertes sur signaux suspects
Sans basculer dans une supervision lourde, des alertes utiles peuvent couvrir : tentatives de connexion répétées, création de nouveaux comptes administrateurs, changements inattendus sur des fichiers, pics de trafic incohérents vers des pages inconnues.

Conseil terrain : commencer petit fonctionne mieux que viser “parfait” et ne rien mettre. Monitoring simple et alertes basiques valent mieux qu’un dispositif théorique jamais consulté.

Fréquence de contrôle et preuves à conserver

Un dispositif fiable est un dispositif prouvable. Des preuves simples suffisent, à condition de les conserver.

Corriger ces six points change déjà radicalement le niveau de risque.

Mini FAQ

La 2FA est-elle obligatoire

Dans les faits, elle est devenue un standard. Sans 2FA sur les accès critiques, la surface d’attaque reste inutilement grande.

Combien de sauvegardes conserver

Il faut pouvoir revenir avant le problème. Une combinaison quotidien, hebdomadaire, mensuel est une base pragmatique pour la plupart des sites PME.

Monitoring gratuit ou payant

L’enjeu n’est pas le prix. L’enjeu est l’existence d’alertes et le fait qu’elles soient réellement vues et traitées.

Qui doit avoir un compte administrateur

Le strict minimum. Une personne référente, et éventuellement un prestataire identifié, avec un compte nominatif, des droits limités et de la traçabilité.

Conclusion

Cette checklist n’a pas vocation à vous transformer en expert cybersécurité. Elle a vocation à vous rendre difficile à casser, et surtout rapide à réparer si un incident arrive.

Si vous voulez, chez TooNetCreation on peut faire ça en mode très simple :

• un audit express des accès
• mise en place 2FA et durcissement
• sauvegardes testées
• monitoring et alertes
• routine mensuelle claire

Et après ça, promis, je retourne à mes priorités. Pêcher tranquille, et boire une bière sans notification “site down”.