Cybermois : 10 mesures de cybersécurité qu’une TPE peut appliquer cette semaine

La cybersécurité d’une TPE ne commence pas par un grand projet, mais par des décisions simples : protéger les accès, sauvegarder les données, mettre à jour les outils et savoir quoi faire en cas de doute. Pour le Cybermois 2026, l’objectif est clair : appliquer cette semaine les mesures qui réduisent le plus le risque, sans bloquer l’activité.

Voici une liste d’actions classées par coût et par temps indicatif, pensée pour une petite équipe qui utilise une messagerie, un site web, des outils cloud, des postes de travail et parfois WordPress ou WooCommerce.

• Pourquoi profiter du Cybermois pour sécuriser une TPE ?
• Par où commencer quand on manque de temps ?
• Quelles actions gratuites appliquer cette semaine ?
• Quelles actions demandent un petit budget ou un prestataire ?
• Comment protéger votre site web sans tout refaire ?
• Que faire si vous suspectez un incident ?
• Questions fréquentes
• Sources

Pourquoi profiter du Cybermois pour sécuriser une TPE ?

Le Mois européen de la cybersécurité est une campagne annuelle portée au niveau européen pour sensibiliser les citoyens et les organisations. En France, l’édition 2026 du Cybermois est présentée par Cybermalveillance.gouv.fr comme un temps de sensibilisation aux menaces numériques et aux bons réflexes, avec un agenda officiel du 1er au 31 octobre 2026. (enisa.europa.eu)

Pour une TPE, l’intérêt n’est pas de faire un audit complet en urgence. L’intérêt est de prendre une semaine pour corriger ce qui expose le plus l’entreprise : mots de passe réutilisés, absence de double authentification, sauvegardes non testées, site non maintenu, droits d’accès laissés ouverts, absence de procédure en cas de piratage.

Par où commencer quand on manque de temps ?

Commencez par les mesures qui protègent les comptes et les données. L’ANSSI recommande notamment les sauvegardes régulières, les mises à jour, les mots de passe robustes et l’authentification double facteur quand elle est possible. Cybermalveillance.gouv.fr insiste aussi sur les mots de passe uniques, les sauvegardes déconnectées et les mises à jour de sécurité. (cyber.gouv.fr)

Priorité	Action	Coût direct	Temps indicatif	Impact
1	Activer la double authentification	Gratuit le plus souvent	Rapide	Très fort sur les comptes
2	Créer des mots de passe uniques	Gratuit ou abonnement	Court	Très fort sur les accès
3	Vérifier les sauvegardes	Gratuit à variable	Court à moyen	Très fort sur la reprise
4	Mettre à jour postes, logiciels et site	Gratuit à variable	Court à moyen	Fort sur les failles connues
5	Réduire les droits administrateur	Gratuit	Court	Fort sur les erreurs et intrusions
6	Sécuriser la messagerie	Gratuit à variable	Moyen	Fort sur l’hameçonnage
7	Protéger le site web	Variable	Moyen	Fort sur l’image et les ventes
8	Former l’équipe aux réflexes de base	Gratuit	Court	Fort sur les clics risqués
9	Écrire une mini procédure d’incident	Gratuit	Court	Fort sur la réaction
10	Prévoir une maintenance régulière	Abonnement ou prestation	Récurrent	Fort sur la durée

Quelles actions gratuites appliquer cette semaine ?

1. Activer la double authentification sur les comptes sensibles

Commencez par les comptes qui ouvrent la porte à toute l’entreprise : messagerie, banque, logiciel de facturation, hébergement web, nom de domaine, boutique en ligne, réseaux sociaux, outils publicitaires et stockage cloud.

1. Listez les comptes utilisés par l’entreprise.
2. Repérez ceux qui contiennent des données clients, des factures ou des moyens de paiement.
3. Activez l’authentification double facteur avec une application dédiée quand c’est possible.
4. Gardez les codes de secours dans un espace sécurisé, pas dans la boîte mail protégée par ces mêmes codes.

2. Remplacer les mots de passe réutilisés

Un mot de passe réutilisé transforme un seul piratage en accès multiple. L’ANSSI recommande des mots de passe robustes et mentionne une longueur minimale de 12 caractères avec différents types de caractères, tandis que Cybermalveillance.gouv.fr rappelle l’importance de mots de passe différents et complexes pour chaque service. (cyber.gouv.fr)

1. Changez d’abord les mots de passe de messagerie, banque, hébergement, nom de domaine et administration du site.
2. Utilisez un gestionnaire de mots de passe plutôt qu’un fichier partagé ou des notes non protégées.
3. Supprimez les accès des anciens collaborateurs, stagiaires, freelances ou prestataires qui n’interviennent plus.

Si vous hésitez sur l’outil à choisir, on a publié un comparatif dédié aux meilleurs gestionnaires de mots de passe.

3. Tester une sauvegarde, pas seulement la créer

Une sauvegarde qui n’a jamais été restaurée reste une promesse. Cybermalveillance.gouv.fr rappelle que la sauvegarde peut être le seul moyen de retrouver ses données en cas de piratage, panne, vol ou perte, et conseille de protéger les sauvegardes, notamment lorsqu’elles sont stockées sur un support externe. (cybermalveillance.gouv.fr)

1. Identifiez les données vitales : devis, factures, fichiers clients, contrats, catalogue produits, base du site, visuels, documents RH.
2. Vérifiez où elles sont sauvegardées : cloud, serveur, disque externe, hébergeur, outil métier.
3. Restaurez un fichier ou une copie du site dans un environnement de test.
4. Déconnectez au moins une sauvegarde du réseau courant pour limiter les dégâts en cas de rançongiciel.

4. Mettre à jour ce qui est déjà installé

Les mises à jour corrigent souvent des failles déjà connues. L’action la plus simple consiste à vérifier les systèmes d’exploitation, navigateurs, logiciels de bureautique, applications métier, extensions de site et thèmes WordPress.

1. Activez les mises à jour automatiques quand l’option existe et que l’outil est standard.
2. Planifiez les mises à jour plus sensibles hors période de forte activité.
3. Faites une sauvegarde avant de mettre à jour un site web ou une boutique.
4. Supprimez les extensions, comptes et logiciels qui ne servent plus.

5. Limiter les droits administrateur

Tout le monde n’a pas besoin d’être administrateur. Un compte avec trop de droits peut aggraver une erreur humaine ou une compromission. Sur une semaine, votre objectif est simple : chaque personne doit garder uniquement les accès nécessaires à son travail.

1. Listez les administrateurs de la messagerie, du site, des réseaux sociaux, du cloud et des outils de gestion.
2. Retirez les droits élevés aux comptes du quotidien.
3. Créez des comptes nominatifs plutôt qu’un identifiant partagé.
4. Gardez un compte de secours sécurisé pour éviter le blocage complet.

Quelles actions demandent un petit budget ou un prestataire ?

6. Sécuriser la messagerie et les noms de domaine

La messagerie concentre les devis, les factures, les accès aux outils et les échanges clients. Elle mérite une attention prioritaire. Faites vérifier les paramètres d’authentification, les redirections suspectes, les comptes dormants et les configurations du nom de domaine liées à l’envoi d’e-mails.

1. Supprimez les boîtes inutilisées.
2. Contrôlez les règles de transfert automatique.
3. Activez la double authentification.
4. Demandez une vérification DNS si vos e-mails arrivent souvent en spam ou si quelqu’un peut usurper votre domaine.

7. Mettre votre site web sous maintenance

Un site vitrine, un WordPress ou une boutique WooCommerce vit dans le temps : extensions, thème, hébergement, formulaires, sauvegardes, certificats, comptes administrateurs. Chez Osmova, on traite la maintenance comme une mesure de continuité, pas comme une option esthétique.

Si votre site n’est pas suivi, vous pouvez consulter notre service hébergement et maintenance web. Les forfaits de maintenance Osmova sont proposés à 40/60/80 € HT par mois selon le niveau d’accompagnement.

1. Vérifiez la présence d’une sauvegarde récente.
2. Mettez à jour le socle, les extensions et le thème après sauvegarde.
3. Retirez les comptes administrateurs inutiles.
4. Contrôlez les formulaires, les notifications et les accès à l’hébergement.

8. Ajouter une surveillance minimale du site

Une TPE n’a pas toujours besoin d’un centre de supervision avancé. En revanche, elle doit savoir rapidement si son site tombe, si un formulaire ne fonctionne plus, si une mise à jour casse une page ou si un compte administrateur inconnu apparaît.

1. Activez les alertes de disponibilité de l’hébergement si elles existent.
2. Vérifiez les journaux de connexion administrateur.
3. Surveillez les changements de fichiers sensibles sur WordPress lorsque c’est possible.
4. Testez régulièrement les formulaires de contact et de commande.

Pour compléter, vous pouvez lire notre article consacré aux bonnes pratiques pour sécuriser un site web.

9. Préparer une mini sensibilisation d’équipe

La sensibilisation n’a pas besoin d’être longue pour être utile. Elle doit surtout être concrète : faux RIB, pièce jointe inattendue, lien de connexion, demande urgente, message du dirigeant, outil inconnu, QR code suspect.

1. Choisissez une situation réaliste pour votre activité.
2. Montrez les signaux d’alerte : adresse expéditeur, urgence, faute dans le domaine, demande de paiement, fichier inattendu.
3. Décidez d’un canal interne pour demander confirmation.
4. Rappelez qu’un doute signalé tôt vaut mieux qu’un incident caché.

10. Écrire une procédure d’incident simple

Le jour où un compte est piraté, il ne faut pas chercher dans l’urgence qui appeler, quoi couper et quelles preuves garder. Une procédure courte suffit pour démarrer.

1. Désignez une personne responsable de la coordination.
2. Notez les accès critiques : hébergeur, domaine, messagerie, banque, site, sauvegardes.
3. Prévoyez les premières actions : changer les mots de passe, couper un accès, prévenir l’hébergeur, conserver les traces.
4. Ajoutez le réflexe RGPD : si des données personnelles sont concernées, évaluer le risque et documenter l’incident.

La CNIL indique qu’une violation de données personnelles doit être documentée en interne et, lorsqu’elle entraîne un risque pour les droits et libertés des personnes, notifiée à la CNIL dans un délai maximal de 72 heures. (cnil.fr)

Comment protéger votre site web sans tout refaire ?

Pour une TPE, le site web est souvent le point visible : prise de contact, devis, réservation, achat, espace client, formulaire de recrutement. Il n’est pas toujours nécessaire de le refondre pour améliorer sa sécurité. Il faut d’abord vérifier le socle.

1. Votre site a-t-il une sauvegarde restaurable ?
2. Qui possède les accès à l’administration ?
3. Qui possède le nom de domaine ?
4. Les extensions inutilisées sont-elles supprimées ?
5. Le formulaire de contact protège-t-il les données envoyées ?
6. Le site est-il maintenu après chaque évolution importante ?

Si vous n’avez pas de réponse claire à ces questions, commencez par une reprise en main technique. Pour un site existant, la maintenance est souvent plus rapide et moins risquée qu’une succession de corrections improvisées. Vous pouvez passer par notre page hébergement et maintenance pour cadrer ce besoin.

Que faire si vous suspectez un incident ?

Si vous voyez une connexion inconnue, un virement suspect, un site modifié, une alerte antivirus, une boîte mail qui envoie des messages seule ou des fichiers chiffrés, évitez les réactions dispersées. Le bon réflexe est de limiter l’impact sans effacer les traces utiles.

1. Déconnectez l’appareil concerné du réseau si vous pensez qu’il est compromis.
2. Ne supprimez pas les messages, journaux ou captures qui peuvent aider à comprendre.
3. Changez les mots de passe depuis un appareil sain.
4. Prévenez les personnes internes concernées.
5. Contactez vos prestataires techniques si le site, la messagerie ou l’hébergement sont touchés.
6. Documentez les faits : date, heure, compte concerné, action observée, personnes informées.

L’objectif n’est pas de paniquer. L’objectif est de reprendre le contrôle dans le bon ordre : comptes, données, preuves, obligations, continuité.

Questions fréquentes

Une TPE est-elle vraiment concernée par la cybersécurité ?

Oui. Une TPE utilise souvent une messagerie, des factures, des données clients, un site web, des outils cloud et des moyens de paiement. Il suffit qu’un accès critique soit compromis pour bloquer l’activité ou exposer des données.

Quelle mesure appliquer en premier ?

Activez la double authentification sur la messagerie, l’hébergement, le nom de domaine et les outils financiers. C’est souvent rapide et très efficace contre le vol de mot de passe.

Faut-il payer un outil de cybersécurité dès le départ ?

Pas forcément. Commencez par les réglages gratuits : mots de passe uniques, double authentification, mises à jour, sauvegardes, droits limités. Ensuite, investissez là où le risque reste élevé.

WordPress est-il dangereux pour une TPE ?

WordPress n’est pas le problème en soi. Le risque vient surtout des extensions abandonnées, des comptes administrateurs faibles, des sauvegardes absentes et de l’absence de maintenance.

Que doit contenir une procédure d’incident minimale ?

Elle doit indiquer qui coordonne, quels accès sont critiques, comment couper ou changer un accès, qui prévenir, où sont les sauvegardes et comment documenter les faits.

Sources

• ENISA, European Cybersecurity Month : https://www.enisa.europa.eu/topics/cyber-hygiene/european-cybersecurity-month (enisa.europa.eu)
• Cybermalveillance.gouv.fr, Cybermois 2026 : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybermois-2026 (cybermalveillance.gouv.fr)
• Cybermalveillance.gouv.fr, Les 10 mesures essentielles pour assurer votre cybersécurité : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (cybermalveillance.gouv.fr)
• ANSSI, Guide TPE-PME : https://messervices.cyber.gouv.fr/documents-guides/20241212_np_anssi_guide_tpe-pme_v2.pdf (messervices.cyber.gouv.fr)
• CNIL, Violations de données personnelles : https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (cnil.fr)