Les 5 erreurs de sécurité les plus courantes sur les sites web d'entreprises

L'injection SQL permet à un attaquant d'injecter du code SQL malveillant dans un formulaire ou une URL pour accéder, modifier ou supprimer des données de votre base de données. C'est la vulnérabilité la plus répandue et la plus dévastatrice.

Exemple d'attaque

$query = "SELECT * FROM users WHERE email = '" . $_POST['email'] . "'";

Un attaquant saisit admin'-- dans le champ email et contourne l'authentification.

$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$_POST['email']]);

Stocker les mots de passe en clair dans la base de données est une erreur catastrophique. En cas de fuite, tous vos utilisateurs sont immédiatement compromis. De même, des règles de mot de passe laxistes facilitent les attaques par brute-force.

// JAMAIS faire ça :
INSERT INTO users SET password = 'motdepasse123';
// Ou MD5 qui est crackable en secondes :
$hash = md5($password);

// Création
$hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);

// Vérification
if (password_verify($inputPassword, $hash)) {
    // Authentification réussie
}

Un site sans HTTPS expose les données de vos utilisateurs en transit. Mots de passe, informations personnelles, données de carte bancaire — tout circule en clair et peut être intercepté (attaque "Man in the Middle").

En plus du risque sécuritaire, Google pénalise les sites HTTP dans son classement et Chrome affiche un avertissement "Non sécurisé" repoussant immédiatement vos visiteurs.

WordPress, jQuery, PHP, Node.js… Utiliser des versions obsolètes de vos bibliothèques expose votre site à des vulnérabilités connues et documentées, exploitables par n'importe qui avec une recherche Google.

Le Cross-Site Scripting (XSS) permet à un attaquant d'injecter du JavaScript malveillant dans vos pages. Si les cookies de session ne sont pas correctement sécurisés, l'attaquant peut voler la session d'un utilisateur connecté (session hijacking).

setcookie('session_id', $session_id);
// Cookie accessible en JavaScript, transmis en HTTP

setcookie('session_id', $session_id, [
    'expires'  => time() + 3600,
    'secure'   => true,   // HTTPS uniquement
    'httponly' => true,   // Inaccessible en JS
    'samesite' => 'Strict' // Protection CSRF
]);