Un hébergement mutualisé, c'est la formule qu'utilise la très grande majorité des PME et artisans en France, chez OVH, Infomaniak, o2switch, Ionos, PlanetHoster ou d'autres. L'interface varie selon l'hébergeur, mais les principes de sécurité sont identiques partout.
Votre hébergeur sécurise son infrastructure. Votre site, lui, c'est votre responsabilité. Ce guide couvre les actions concrètes à faire dans votre espace client et sur votre hébergement.
1. Activer le 2FA sur votre compte hébergeur
Votre compte hébergeur est la clé de voûte de tout : domaines, hébergements, emails, DNS. Si quelqu'un y accède, il peut modifier vos DNS pour rediriger votre site, transférer vos domaines, ou effacer votre hébergement.
Comment faire : cherchez dans votre espace client la section «Sécurité» ou «Mon compte», quasiment tous les hébergeurs sérieux proposent aujourd'hui l'authentification à deux facteurs (SMS ou application TOTP comme Google Authenticator ou Authy).
Choisissez au minimum le SMS, idéalement une application TOTP, plus robuste qu'un code envoyé par SMS.
2. Vérifier et sécuriser les accès FTP
L'accès FTP de votre hébergement permet de lire, écrire et supprimer n'importe quel fichier de votre site. C'est un accès très puissant.
Ce qu'il faut faire :
- Changez le mot de passe FTP depuis votre espace client (section FTP ou «Accès fichiers»). Utilisez un mot de passe de 20+ caractères.
- Activez SFTP ou FTP avec TLS plutôt que le FTP classique en clair, la connexion est alors chiffrée.
- Si vous ne vous connectez plus en FTP (votre site est géré via le CMS), désactivez cet accès ou remplacez le mot de passe par une chaîne aléatoire stockée dans un gestionnaire.
3. Vérifier les sauvegardes automatiques
La plupart des hébergeurs proposent des sauvegardes automatiques selon la formule souscrite. Elles ne sont pas toujours activées par défaut, et leur fréquence est limitée (hebdomadaires en général).
Comment vérifier : cherchez une section «Sauvegardes» ou «Restauration» dans votre espace client hébergeur.
Limitation importante : ces sauvegardes sont souvent stockées sur la même infrastructure que votre hébergement. Un incident grave chez votre hébergeur pourrait théoriquement affecter les deux. Il est recommandé d'ajouter une sauvegarde externe (via UpdraftPlus vers Google Drive, par exemple).
4. Activer le pare-feu applicatif (si disponible)
Certains hébergeurs incluent un pare-feu d'application web (WAF), souvent basé sur ModSecurity. Sur les hébergements mutualisés standard, cette option est parfois absente, mais vérifiez dans votre espace client, section «Sécurité».
Si cette option est disponible, activez-la en mode «détection» d'abord pour vous assurer qu'elle ne bloque pas du trafic légitime, avant de passer en mode «protection».
5. Sécuriser la base de données MySQL
Votre base de données MySQL contient l'intégralité du contenu de votre site et les données de vos clients.
Points à vérifier :
- Le mot de passe de votre base de données doit être unique et fort (pas le même que votre mot de passe FTP ou WordPress).
- phpMyAdmin, l'interface web pour gérer la base de données, est accessible depuis votre espace client. N'utilisez pas d'URL directe exposée publiquement. Changez le mot de passe BDD régulièrement.
- Désactivez l'accès externe à votre MySQL (port 3306) si vous n'avez pas besoin de vous y connecter depuis l'extérieur, la plupart des hébergeurs mutualisés le restreignent par défaut.
6. Configurer le .htaccess pour la sécurité
Le fichier .htaccess à la racine de votre hébergement permet de configurer des règles de sécurité sans modifier le code PHP de votre site. Il fonctionne sur tous les hébergements mutualisés Apache (OVH, Infomaniak, o2switch, Ionos…).
Voici un bloc de configuration sécurité minimal :
# Bloquer les fichiers sensibles
<FilesMatch "(\.env|\.git|wp-config\.php\.bak|phpinfo\.php|debug\.log)$">
Order allow,deny
Deny from all
</FilesMatch>
# Bloquer accès aux dossiers cachés
RedirectMatch 404 /\..*
# Headers de sécurité HTTP
Header always set X-Frame-Options "SAMEORIGIN"
Header always set X-Content-Type-Options "nosniff"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
# Désactiver le listage de répertoires
Options -Indexes
# Forcer HTTPS
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]7. Surveiller les changements inhabituels
Les hébergeurs envoient des alertes par email si votre hébergement est suspendu pour utilisation abusive, signe fréquent d'un piratage. Assurez-vous que l'email de contact de votre compte hébergeur est bien surveillé.
Plus proactivement : vérifiez régulièrement les dates de modification des fichiers dans le gestionnaire de fichiers de votre hébergeur ou via FTP. Un fichier index.php ou .htaccess modifié à une date inhabituelle est un signal d'alarme.
8. Les limites de l'hébergement mutualisé
L'hébergement mutualisé signifie que vous partagez le serveur physique avec d'autres clients. Votre hébergeur isole les comptes, mais certaines attaques «voisines» restent possibles, bien que rares chez les hébergeurs sérieux.
Si votre site gère des données sensibles (données de santé, financières, ou e-commerce important), un hébergement VPS ou Cloud avec plus de contrôle est recommandé.
En résumé : sécuriser un hébergement mutualisé, c'est : 2FA sur l'espace client, mot de passe FTP fort, sauvegardes vérifiées et complétées par une copie externe, fichiers sensibles bloqués via .htaccess, et surveillance des alertes de votre hébergeur. Des actions concrètes qui prennent moins d'une demi-journée.
Vous avez besoin d'aide pour configurer tout ça ? Contactez NordSite → ou testez d'abord votre site avec notre simulateur gratuit.