Protection WAF · Nettoyage de malware · Optimisation Core Web Vitals
La sécurité et performance de votre site se jouent au quotidien : une extension oubliée suffit à ouvrir la porte à un robot malveillant, et une page qui met cinq secondes à s'afficher fait fuir vos visiteurs avant qu'ils ne lisent votre offre. Chez AMS.AL, agence web en Albanie en ligne depuis 2015, nous protégeons les sites avec un pare-feu applicatif et une protection DDoS par CDN, nous les nettoyons quand ils ont été compromis et nous les accélérons selon les Core Web Vitals de Google. Nous ne promettons pas un score magique : nous mesurons, nous corrigeons et nous vous montrons les résultats.
2015
En ligne depuis 2015
Sites, serveurs et sécurité pour les entreprises depuis fin 2015
HTTPS
TLS et HSTS
Chaque site servi uniquement en connexion chiffrée
≤ 2.5 s
LCP visé
Le seuil « bon » de Google pour l'affichage du contenu principal
≤ 0.1
CLS visé
Le seuil de Google pour une page qui ne bouge pas pendant le chargement
Beaucoup d'entreprises ne pensent à la protection de leur site qu'après un incident : une page d'accueil remplacée par un message étranger, des e-mails envoyés en masse depuis leur serveur, ou un avertissement rouge de Google qui demande aux visiteurs de ne pas continuer. La vitesse suit le même chemin, car sécurité et performance vont toujours ensemble : on s'habitue à un site lent jusqu'au jour où l'on compare ses chiffres avec ceux d'un concurrent.
La plupart des attaques ne visent personne en particulier. Des robots parcourent Internet jour et nuit à la recherche d'une version obsolète de WordPress, d'un mot de passe faible ou d'un formulaire mal protégé. Un site sans entretien finit donc presque toujours par être trouvé. De la même manière, un site qui accumule des extensions, des images trop lourdes et des scripts inutiles devient plus lent chaque mois, sans que personne ne décide qu'il le devienne.
Le tableau ci-dessous compare un site laissé tel quel avec un site dont la sécurité et performance sont confiées à AMS.AL. La différence ne tient pas à un outil miracle, mais à une routine : protéger, mettre à jour, sauvegarder, mesurer et corriger.
| Critère | Site laissé sans suivi | Sécurité et performance par AMS.AL |
|---|---|---|
| Attaques et trafic abusif | Le serveur reçoit directement tout le trafic, y compris les robots et les vagues de requêtes. | Un CDN comme Cloudflare filtre le trafic avec un pare-feu applicatif (WAF) et une atténuation DDoS avant qu'il n'atteigne le serveur. |
| Logiciels malveillants | Le code injecté reste caché pendant des semaines et n'est découvert que par un avertissement du navigateur. | Des analyses régulières des fichiers et de la base de données, et un nettoyage complet avec correction de la faille. |
| Mises à jour | Le cœur, le thème et les extensions restent sur d'anciennes versions par peur de tout casser. | Des mises à jour planifiées, testées d'abord sur une copie, avec une sauvegarde faite juste avant. |
| Sauvegardes | Une copie ancienne, sur le même serveur, que personne n'a jamais essayé de restaurer. | Des sauvegardes automatiques hors du serveur et des tests de restauration réguliers. |
| Vitesse | Pas de cache, des images de plusieurs mégaoctets et des scripts chargés sur toutes les pages. | Cache à plusieurs niveaux, CDN, images en WebP ou AVIF et scripts chargés seulement là où ils servent. |
| Surveillance | Les problèmes sont découverts quand un client appelle pour dire que le site ne s'ouvre plus. | Une surveillance de la disponibilité, du certificat et des changements de fichiers, avec des alertes automatiques. |
On présente souvent la protection et la vitesse comme deux sujets séparés, confiés à deux prestataires différents. En pratique, ils se touchent à chaque étape. Un CDN qui filtre les attaques sert aussi les fichiers depuis un point proche du visiteur. Un site débarrassé d'extensions inutiles offre moins de failles et charge moins de code. Un serveur à jour exécute PHP plus vite et corrige des vulnérabilités connues. C'est pourquoi nous traitons la sécurité et performance comme un seul chantier, avec un seul plan et un seul rapport.
Quand votre site a été réalisé par notre équipe de création de site internet, nous connaissons déjà son code et son architecture. Lorsqu'il a été construit ailleurs, nous commençons par un audit pour comprendre ce qui tourne réellement sur le serveur avant de toucher à quoi que ce soit.
Chaque site a ses propres risques et ses propres lenteurs, et un bon plan de sécurité et performance en tient compte. Une boutique en ligne qui reçoit des paiements n'a pas les mêmes besoins qu'un site vitrine de cinq pages. Nous choisissons donc avec vous les services utiles, en commençant toujours par ce qui réduit le plus le risque et ce qui améliore le plus l'expérience de vos visiteurs.
Nous plaçons votre site derrière un CDN comme Cloudflare, qui reçoit le trafic avant votre serveur. Son pare-feu applicatif bloque les tentatives connues d'injection SQL, de script intersite et d'intrusion dans l'administration, et son réseau absorbe les vagues de requêtes d'une attaque par déni de service.
Nous ajoutons des règles adaptées à votre site : limitation du nombre de tentatives de connexion, protection des pages d'administration, blocage des pays ou des robots qui n'ont rien à y faire, et un mode de défi pour le trafic suspect. Votre véritable adresse de serveur reste cachée derrière le CDN, premier pilier de notre offre de sécurité et performance.
Idéal pour: Tout site exposé aux robots, aux attaques de connexion ou à des pics de trafic soudains.
Si votre site redirige vers des pages inconnues, envoie du spam ou affiche un avertissement dans le navigateur, nous intervenons rapidement. Nous isolons le site, analysons les fichiers et la base de données, supprimons le code malveillant et les comptes administrateur ajoutés, puis nous remplaçons les fichiers du cœur et des extensions par des copies officielles.
Pour la sécurité et performance du site, nettoyer ne suffit pas : nous cherchons comment l'attaquant est entré, nous fermons cette porte, nous changeons tous les mots de passe et les clés, puis nous demandons à Google de réexaminer le site lorsqu'il a été signalé.
Idéal pour: Sites déjà compromis, signalés par Google ou suspendus par leur hébergeur.
En matière de sécurité et performance, le durcissement consiste à réduire tout ce qu'un attaquant pourrait utiliser. Pour WordPress, cela veut dire supprimer les extensions et les thèmes inutilisés, désactiver l'édition de fichiers depuis l'administration, protéger les fichiers de configuration, limiter les droits de chaque compte et activer la double authentification pour les administrateurs.
Côté serveur, nous appliquons des droits de fichiers stricts, des versions de PHP maintenues, un pare-feu système, l'accès SSH par clé et des comptes séparés pour chaque site. Nous configurons aussi les en-têtes de sécurité HTTP et le HTTPS forcé avec HSTS.
Idéal pour: Sites WordPress, WooCommerce et serveurs que vous voulez rendre plus difficiles à attaquer.
Nous mesurons d'abord votre site avec PageSpeed Insights, les données réelles de Chrome et la Search Console, puis nous corrigeons ce qui pèse le plus : temps de réponse du serveur, images trop lourdes, polices bloquantes, scripts tiers et décalages de mise en page.
Les outils que nous utilisons sont connus et vérifiables : cache des pages et des objets, CDN, compression Brotli, images converties en WebP ou AVIF avec des dimensions déclarées, chargement différé de ce qui est sous la ligne de flottaison et optimisation de la base de données.
Idéal pour: Sites lents, boutiques en ligne et pages de campagne dont chaque seconde compte.
Une fois le site protégé et accéléré, nous gardons sa sécurité et performance au même niveau dans la durée. Notre surveillance vérifie la disponibilité, la date d'expiration du certificat SSL, les changements inattendus de fichiers et les temps de réponse, et nous alerte dès qu'une valeur sort de la normale.
Les sauvegardes partent automatiquement hors du serveur, et nous essayons régulièrement de les restaurer sur une copie de test pour être certains qu'elles fonctionnent le jour où vous en aurez besoin.
Idéal pour: Entreprises qui veulent un site protégé dans la durée, sans s'en occuper elles-mêmes.
Un projet de sécurité et performance ne commence jamais par une extension installée au hasard. Chaque mission suit les mêmes six étapes, du premier diagnostic à la surveillance continue, afin que vous sachiez toujours ce que nous faisons, pourquoi nous le faisons et ce que vous recevez à la fin de chaque étape.
Nous examinons le site de l'extérieur et de l'intérieur : versions du cœur et des extensions, comptes administrateur, droits de fichiers, certificat SSL, en-têtes HTTP, configuration DNS et sauvegardes existantes. En parallèle, nous mesurons la vitesse sur mobile et sur ordinateur, avec les données de laboratoire et, quand elles existent, les données réelles des visiteurs.
Ce que vous recevez
À partir de l'audit de sécurité et performance, nous préparons un plan qui commence par les risques les plus graves et les gains les plus visibles. Nous indiquons pour chaque action ce qu'elle change, combien de temps elle demande et si elle nécessite une intervention sur le contenu ou sur le design.
Ce que vous recevez
Nous mettons le site derrière le CDN, activons le pare-feu applicatif et les règles anti-robots, forçons le HTTPS avec HSTS, ajoutons les en-têtes de sécurité et la double authentification pour les administrateurs. Si le site est infecté, le nettoyage complet a lieu à cette étape, avant toute optimisation.
Ce que vous recevez
Nous configurons le cache et le CDN, convertissons les images en WebP ou AVIF, réduisons le code chargé sur chaque page, réglons les polices et nettoyons la base de données. Chaque changement est fait d'abord sur une copie de préproduction.
Ce que vous recevez
Avant de publier, nous testons les formulaires, le panier, le paiement, les comptes clients et l'affichage sur mobile. Nous faisons aussi un test de restauration d'une sauvegarde complète, pour prouver que le site peut être remis en ligne rapidement après un incident.
Ce n'est qu'après ces tests que les changements passent en production, à une heure de faible trafic, avec une sauvegarde faite juste avant.
Ce que vous recevez
Le site entre ensuite dans notre surveillance de sécurité et performance : disponibilité, certificat, changements de fichiers, mises à jour et vitesse. Vous recevez un rapport régulier qui compare les mesures avec celles de départ et indique les prochaines améliorations utiles.
Ce que vous recevez
Quelques notions de base suffisent pour comprendre où passe le temps de chargement d'une page et pourquoi certains sites sont attaqués plus facilement que d'autres. Voici ce que nous expliquons à chaque client avant de commencer un travail de sécurité et performance.
Google mesure l'expérience réelle des visiteurs avec trois indicateurs, les Core Web Vitals, et les prend en compte dans son classement. Pour chacun, Google publie un seuil « bon » que nous visons sur la majorité des visites, et non seulement dans un test isolé :
Un certificat SSL/TLS chiffre la connexion entre le visiteur et votre site, et les navigateurs marquent comme « non sécurisé » tout site qui en est dépourvu. HSTS va plus loin : il demande au navigateur de n'utiliser que le HTTPS pour votre domaine, ce qui empêche qu'une connexion soit détournée vers une version non chiffrée.
Les en-têtes de sécurité HTTP ajoutent d'autres protections simples, que nous configurons et testons pour ne casser aucune fonction du site :
Une grande partie des intrusions commence par un mot de passe volé ou deviné. Avec la double authentification, un mot de passe seul ne suffit plus : il faut aussi un code temporaire depuis une application sur le téléphone de l'administrateur. C'est l'une des mesures les plus simples et les plus efficaces que nous mettons en place, en particulier pour les comptes qui peuvent installer des extensions ou modifier le code.
Beaucoup de sites ont des sauvegardes que personne n'a jamais testées. Le jour d'un incident, on découvre qu'elles sont incomplètes, corrompues ou stockées sur le serveur attaqué. Nous suivons la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors du serveur principal, et nous faisons régulièrement des tests de restauration sur une copie séparée.
Les images sont souvent la plus grande partie du poids d'une page. Convertir une photo en WebP ou en AVIF, à la taille réelle à laquelle elle est affichée, réduit fortement son poids sans différence visible pour le visiteur. En déclarant aussi la largeur et la hauteur de chaque image, on évite que le texte saute pendant le chargement, ce qui améliore directement le CLS.
Nous ne vous demandons pas de nous croire sur parole. Chaque mission commence par des mesures de départ et se termine par les mêmes mesures, prises avec les mêmes outils, pour que vous puissiez comparer vous-même.
Notre suivi de sécurité et performance combine des contrôles de protection et des mesures de vitesse. Les valeurs de laboratoire servent à diagnostiquer, les données réelles de vos visiteurs à juger le résultat :
Aucun prestataire honnête ne peut promettre un score de 100 dans PageSpeed ou une protection absolue contre toutes les attaques. Le score dépend aussi de votre contenu, de vos scripts publicitaires et des outils tiers que vous choisissez, et une nouvelle faille peut apparaître dans une extension du jour au lendemain. Ce que nous faisons, c'est viser les seuils publiés par Google, réduire les risques connus, réagir vite et vous dire clairement ce qui reste à améliorer.
Vous recevez régulièrement un rapport court, en langage clair : ce qui a été bloqué, ce qui a été mis à jour, comment la vitesse a évolué et ce que nous recommandons ensuite. Si votre site est hébergé chez nous, ces mesures sont reliées à la surveillance de notre hébergement web ; pour le suivi des contenus et des extensions dans la durée, notre service de maintenance de site web utilise les mêmes données.
Les accès, les sauvegardes et la configuration du CDN restent à votre nom. Nous documentons chaque réglage, nous vous remettons les identifiants à la fin de la mission et nous ne vous enfermons dans aucun outil propriétaire.
Pour simplifier le choix, nous avons regroupé nos services de sécurité et performance en trois niveaux. Chaque formule est adaptée à votre site après l'audit, et vous pouvez passer de l'une à l'autre à tout moment. L'outil ci-dessous vous indique le niveau le plus proche de vos besoins.
Un diagnostic complet et les corrections les plus urgentes.
Idéal pour: Sites vitrines, sites lents ou sites dont personne ne connaît plus l'état exact.
Un site protégé, sauvegardé et surveillé dans la durée.
Idéal pour: Sites d'entreprise, blogs actifs et petites boutiques en ligne.
Protection renforcée et travail approfondi sur les Core Web Vitals.
Idéal pour: Boutiques en ligne, plateformes avec comptes clients et sites à fort trafic.
Choisissez ce qui décrit votre situation et nous vous montrerons le niveau le plus proche. Ce n'est qu'une indication ; le devis est préparé après l'audit.
Choisissez au moins une option pour voir la recommandation.
Nous ne publions pas de prix fixes, car le travail dépend de l'état de votre site, de sa technologie et de son trafic. Pour chaque demande, nous préparons un devis gratuit et sans engagement, avec les coûts clairement indiqués.
Voici les questions que les entreprises nous posent le plus souvent avant de nous confier la protection et la vitesse de leur site. Si la vôtre n'y figure pas, écrivez-nous et nous vous répondrons personnellement.
Oui. La plupart des attaques sont automatiques : des robots testent des millions de sites à la recherche d'une faille connue, sans regarder la taille de l'entreprise. Un petit site compromis peut servir à envoyer du spam, à héberger des pages frauduleuses ou à attaquer d'autres serveurs.
C'est pourquoi des mesures de base comme les mises à jour, la double authentification et un pare-feu applicatif sont utiles pour tous les sites, pas seulement pour les grandes boutiques.
Oui. Nous isolons le site, supprimons le code malveillant et les comptes ajoutés, remplaçons les fichiers par des copies officielles, puis nous cherchons et corrigeons la faille par laquelle l'attaquant est entré. Nous changeons ensuite les mots de passe et les clés.
Si Google a signalé le site, nous demandons un réexamen une fois le nettoyage terminé, et nous vous expliquons ce qui s'est passé.
Un WAF, ou pare-feu applicatif, analyse les requêtes envoyées à votre site et bloque celles qui ressemblent à des attaques connues. Placé dans un CDN comme Cloudflare, il agit avant que le trafic n'atteigne votre serveur, ce qui protège aussi contre les vagues de requêtes d'une attaque DDoS.
Le même CDN sert les fichiers statiques depuis un point proche du visiteur, ce qui améliore aussi la vitesse.
Non, et nous préférons le dire clairement. Le score dépend de votre thème, de vos contenus et des outils tiers comme les scripts publicitaires ou les chats en ligne. Nous visons les seuils « bons » de Google pour le LCP, l'INP et le CLS, nous mesurons avant et après, et nous vous expliquons ce qui limite encore le résultat.
Tout changement est fait d'abord sur une copie de préproduction, puis testé sur les parcours importants : formulaires, panier, paiement et comptes clients. Une sauvegarde est faite juste avant la mise en production, ce qui permet de revenir en arrière en quelques minutes si un problème apparaît.
Oui. WordPress et WooCommerce représentent une grande partie de notre travail, mais nous intervenons aussi sur des sites sur mesure, des applications PHP ou Node.js et des serveurs Linux. L'audit initial nous dit quelles mesures s'appliquent à votre technologie.
Pas forcément. Beaucoup d'améliorations, comme le CDN, le pare-feu, les en-têtes de sécurité, les images et le cache, fonctionnent chez la plupart des hébergeurs. Si le serveur lui-même est trop lent ou impossible à sécuriser correctement, nous vous le disons après l'audit et nous vous proposons une solution adaptée.
Les données de carte ne doivent pas passer par votre serveur. Nous intégrons les paiements par l'intermédiaire de prestataires qui respectent la norme PCI DSS, et nous protégeons les pages de commande avec le HTTPS, le pare-feu et des en-têtes de sécurité stricts.
Parce que nous réalisons, hébergeons et entretenons des sites depuis 2015, et que nous connaissons les deux côtés du problème : le code du site et le serveur sur lequel il tourne. Pour la sécurité et performance de votre site, vous avez un seul interlocuteur, un seul plan et des mesures claires.
Nous parlons ouvertement de ce que nous pouvons promettre et de ce que nous ne pouvons pas promettre. Vous pouvez en lire plus sur notre histoire et notre façon de travailler.
Envoyez-nous l'adresse de votre site pour un premier bilan de sécurité et performance, et dites-nous ce qui vous inquiète le plus : un piratage récent, des lenteurs sur mobile ou simplement l'absence de suivi. Nous vous répondons avec un premier diagnostic et une proposition claire, sans engagement.
Vous pouvez nous écrire ou nous appeler directement. Si votre site est déjà compromis, dites-le-nous dès le premier message : nous traitons ces demandes en priorité.
Dernière mise à jour: