Un développeur freelance qui gère quinze sites clients accumule vite une collection d’accès : autant d’interfaces WordPress ou PrestaShop, des panneaux d’hébergement, des connexions SFTP, des bases de données, sans compter les comptes publicitaires et analytics. La plupart de ces portes d’entrée acceptent une tentative de connexion depuis n’importe quelle adresse IP de la planète. C’est ce constat, plus que le choix du mot de passe, qui devrait guider la réflexion sur la sécurité d’une petite structure du web.
Ce que montre la dernière édition du DBIR
Le rapport annuel de Verizon sur les compromissions de données, publié en mai 2026 à partir de plus de 22 000 violations confirmées dans 145 pays, signale un basculement. Pour la première fois en dix-neuf éditions, l’exploitation de vulnérabilités devient le premier vecteur d’accès initial, avec 31 % des cas contre 20 % l’année précédente. L’abus d’identifiants recule à 13 %, même s’il reste présent à un moment ou à un autre dans 39 % des compromissions.
Deux autres chiffres méritent l’attention des agences et des indépendants. Les organisations n’ont corrigé que 26 % des vulnérabilités critiques répertoriées comme activement exploitées en 2025, contre 38 % l’année d’avant. Et un tiers extérieur est impliqué dans 48 % des compromissions, une progression de 60 % sur un an. Pour un prestataire web, cette dernière ligne se lit dans les deux sens : vos fournisseurs sont un risque pour vous, et vous êtes ce tiers pour vos clients.
La conclusion pratique est moins spectaculaire que le titre du rapport. Puisque le rythme des correctifs ne suit pas celui des attaques, la variable sur laquelle une petite équipe garde la main est la taille de ce qu’elle expose.
Le filtrage par IP, une vieille technique redevenue pertinente
Restreindre l’accès à une page d’administration à une liste d’adresses IP autorisées est une pratique ancienne, longtemps réservée aux structures disposant d’une connexion fixe. Elle a perdu du terrain quand les équipes se sont dispersées entre domicile, coworking et déplacements, avec une adresse différente chaque semaine.
C’est précisément le point que résout un vpn entreprise doté d’une adresse IP dédiée. Toute l’équipe sort par la même adresse, quel que soit le réseau utilisé pour se connecter, ce qui rend le filtrage à nouveau applicable. L’administration reste centralisée : on ajoute un compte quand un freelance rejoint le projet, on le retire quand la mission s’arrête, et le changement prend effet sur tous les serveurs qui filtrent cette adresse, sans toucher à quinze fichiers de configuration.
Où appliquer le filtrage, et où s’en abstenir
Toutes les ressources ne se prêtent pas au même traitement. La documentation officielle de WordPress sur les attaques par force brute recommande d’ailleurs de cibler étroitement les blocages au niveau serveur plutôt que de verrouiller des répertoires entiers, une approche qui casse les appels AJAX de nombreuses extensions.
| Ressource | Mesure réaliste | Piège à éviter |
| wp-login.php et xmlrpc.php | Restriction aux IP autorisées au niveau du serveur | Protéger tout le répertoire wp-admin, ce qui perturbe admin-ajax |
| Panneau d’hébergement, SFTP, SSH | Filtrage IP, clés SSH plutôt que mots de passe | Laisser le port 22 ouvert au monde entier avec un mot de passe |
| Base de données et outils d’administration | Accès réservé au réseau interne ou à l’IP de sortie | Exposer phpMyAdmin sur un sous-domaine public |
| Environnement de préproduction | Authentification serveur et interdiction d’indexation | Copier la base de production sans purger les données clients |
| Comptes publicitaires et analytics | Comptes nominatifs et double authentification | Partager un identifiant unique entre tous les intervenants |
Le filtrage par IP ne remplace ni la double authentification ni les mises à jour. Il réduit simplement le volume de tentatives qui atteignent l’application, ce qui laisse aux correctifs le temps d’arriver.
La préproduction, angle mort des projets de refonte
Les environnements temporaires survivent souvent au projet qui les a créés. Une préproduction montée pour une migration reste en ligne des mois après la mise en production, avec une version figée du CMS, des extensions non mises à jour et parfois une copie complète de la base clients. Elle échappe aux procédures de maintenance parce que plus personne ne se souvient qu’elle existe.
C’est un point à traiter dès le cadrage, au même titre que les redirections. Le guide de Coup d’Oeil sur les étapes d’une refonte e-commerce insiste sur la phase de recette et le suivi après mise en ligne : la suppression des environnements intermédiaires appartient à cette dernière étape, et mérite une ligne dans le cahier des charges.
Les accès qui traînent après la fin d’une mission
La fin d’un contrat est le moment où les habitudes se relâchent. Une routine de clôture écrite, même courte, évite de laisser des portes ouvertes chez un client que vous ne suivez plus :
- retirer le compte de l’intervenant sur l’outil d’accès distant, ce qui coupe l’entrée par l’adresse filtrée
- supprimer son compte utilisateur sur chaque site plutôt que de changer un identifiant partagé
- renouveler les identifiants SFTP, les accès à la base et les clés d’API auxquels il a eu accès
- révoquer les autorisations sur les comptes publicitaires, les outils de mesure et le gestionnaire de balises
- tenir une liste des accès accordés par client, sans quoi la révocation repose sur la mémoire
Cette liste prend dix minutes à établir et devient le document que vous serez content d’avoir sous la main le jour où un client vous demandera qui pouvait techniquement se connecter à son site le mois dernier.
