Meilleurs services de sécurité de site web pour WordPress, SSL et signature de code

Comment choisir un service de sécurité de site web

Les produits de sécurité résolvent des problèmes différents : commencez par ce que vous devez protéger et ce qui pourrait mal tourner.

• Ce que vous protégez. Un site WordPress a besoin d'un scanner et d'un pare-feu sous forme de plugin. Un site d'entreprise, une application ou un installateur ont besoin de certificats. Certains projets exigent les deux.
• Détecter ou réparer. Beaucoup d'outils se contentent de vous alerter quand un malware est trouvé. Vérifiez si le nettoyage est inclus dans l'offre que vous achetez ou vendu comme service séparé : c'est ce qui décide du coût d'un piratage en temps et en argent.
• Fréquence des analyses. Des analyses hebdomadaires, quotidiennes, toutes les 12 heures ou toutes les heures détectent les infections à des vitesses différentes. Une boutique qui encaisse des paiements gagne à des contrôles plus rapides qu'un blog personnel.
• Où le travail est effectué. Une analyse sur les serveurs du fournisseur épargne votre hébergement ; les outils qui analysent à l'intérieur de votre site peuvent le ralentir.
• Comportement du pare-feu. Un bon pare-feu bloque les requêtes nuisibles au lieu de les consigner, et permet de bloquer des pays ou des bots indésirables.
• Niveau de validation des certificats. La validation de domaine (DV) confirme le contrôle d'un domaine, la validation d'organisation (OV) vérifie aussi l'entreprise, et la validation étendue (EV) est la plus poussée. Les niveaux supérieurs demandent plus de temps.
• Couverture. Comptez les domaines, sous-domaines et sites. Un certificat wildcard ou multi-domaines, ou une offre de sécurité pour cinq sites, revient généralement moins cher que plusieurs certificats uniques.
• Automatisation et renouvellements. La durée de vie des certificats raccourcit : la prise en charge de l'émission et du renouvellement automatisés (ACME) fait gagner un temps réel.
• Support et remboursements. Regardez les délais de réponse, un délai de remboursement clair et ses exceptions avant de payer.

Meilleur service de sécurité contre les malwares WordPress

MalCare convient si votre site tourne sous WordPress et que vous voulez analyse, nettoyage et pare-feu dans un seul service. Il analyse les fichiers, les tables de base de données et les tâches planifiées sur ses propres serveurs plutôt que sur votre hébergeur, et ses offres payantes Repair et Fortify suppriment les malwares en un clic après une sauvegarde et une nouvelle analyse pour confirmer que le site est propre.

Il convient aussi à ceux qui ne sont pas prêts à payer. L'offre Free ne demande aucune carte bancaire et comprend des analyses hebdomadaires, un pare-feu de base, la protection de connexion, des alertes de vulnérabilités, la surveillance SSL et la 2FA pour 2 administrateurs. Elle détecte les malwares mais ne les supprime pas. Si vous avez ensuite besoin d'un nettoyage, l'offre Repair démarre à 299 $ par an pour un site, et Protect, à 99 $ par an, ajoute un pare-feu avancé, du patching virtuel, le blocage géographique et la protection contre les bots, sans nettoyage.

Pour les agences et les indépendants, MalCare permet de placer des offres différentes sur différents sites dans un même compte, et les agences avec 10 sites ou plus peuvent demander une tarification dédiée. Lisez la fiche MalCare pour les offres et les conditions de remboursement.

Meilleur service pour les certificats SSL et la signature de code

SSL.com est une autorité de certification, adaptée à ceux qui ont besoin de confiance au niveau du certificat plutôt que d'un scanner de site. Sa gamme TLS/SSL commence à 36,75 $ par an pour un certificat Basic DV et monte via les certificats High Assurance et Premium OV jusqu'aux Wildcard et Enterprise EV, de sorte que vous pouvez adapter le niveau de validation au site. La prise en charge d'ACME pour l'émission et le renouvellement automatisés est incluse, ce qui compte maintenant que la validité maximale des certificats est de 200 jours.

C'est aussi un excellent choix pour les développeurs. SSL.com vend des certificats de signature de code IV, OV, EV et Sole Proprietor, et son service eSigner garde votre clé privée dans un HSM cloud pour que vous puissiez signer depuis GitHub Actions, Jenkins, Azure DevOps ou GitLab CI sans acheter de jeton matériel. Le catalogue comprend aussi des certificats e-mail S/MIME, la signature de documents et la PKI gérée. Consultez la fiche SSL.com pour la liste complète des produits.

Lequel pour quelle tâche

Les deux services de cette page ne se concurrencent pas : ils couvrent des couches de sécurité différentes.

Un site WordPress qui encaisse des paiements peut raisonnablement utiliser les deux : un plugin de sécurité pour surveiller les infections, et un certificat qui prouve que le site est bien celui qu'il prétend être.

Comment les services de sécurité sont tarifés

Les tarifs dépendent du type de produit.

Les plugins de sécurité proposent généralement une offre gratuite puis montent selon le niveau de protection et le nombre de sites. MalCare, par exemple, facture annuellement en USD et tarife ses offres payantes pour 1 site ou 5 sites : Protect coûte 99 $ ou 299 $ par an, Repair 299 $ ou 899 $, et Fortify 499 $ ou 1 499 $. Ce qui change d'un niveau à l'autre, c'est surtout la fréquence des analyses, l'inclusion du nettoyage de malware et la rapidité de réaction des experts.

Les certificats sont facturés à l'année selon le niveau de validation et la couverture. SSL.com liste les certificats TLS/SSL à partir de 36,75 $ par an pour un DV mono-domaine, 48,40 $ pour un High Assurance OV, 74,25 $ pour un Premium trois domaines, 224,25 $ pour un Wildcard et 239,50 $ pour un Enterprise EV. Les garanties augmentent avec le niveau, de 10 000 $ pour Basic à 1 750 000 $ pour Enterprise EV. La signature de code et les certificats S/MIME sont tarifés à part : consultez la page du produit.

Deux habitudes font économiser dans les deux catégories : acheter une couverture multi-sites ou multi-domaines quand vous avez plusieurs propriétés, et utiliser l'offre gratuite ou le délai de remboursement pour vérifier qu'un service vous convient avant de vous engager un an.

Sécurité, validation et remboursements

Quelques points à garder en tête avant d'acheter :

• Le nettoyage n'est pas toujours inclus. Sur un plugin à offres échelonnées, une offre gratuite ou d'entrée de gamme peut trouver les malwares sans les supprimer. Le remboursement de MalCare n'est par ailleurs pas disponible si l'outil a déjà nettoyé un malware de votre site pendant le délai de remboursement.
• La validation prend du temps. Les certificats DV sont généralement émis en quelques minutes, les OV en 1 à 3 jours ouvrés et les EV en 1 à 5. Commandez bien avant un lancement ou une échéance.
• Protégez vos clés de signature. Les clés privées de signature de code ne peuvent pas être exportées : elles résident sur un jeton matériel validé FIPS ou dans un HSM cloud.
• Lisez la politique de remboursement. SSL.com décrit une garantie de remboursement de 30 jours sur les certificats numériques, sous conditions, et les jetons matériels ne sont pas remboursables. MalCare offre un délai de remboursement de 14 jours.