Votre expert-comptable, booster de projet
Entreprises : ce qui a changé depuis le 1er janvier 2025

Entreprises : ce qui a changé depuis le 1er janvier 2025

par | Jan 23, 2025 | Non classé

Entreprises : ce qui a changé depuis le 1er janvier 2025

Crédits d’impôts, partage de la valeur en entreprise, plafond d’exonération de CFE… Comme chaque année au 1er janvier, de nombreux changements impactent les règles en vigueur pour les entreprises, notamment en cette période spéciale. Nous vous présentons les principales nouveautés pour l’année 2025.

 

Mesures applicables pérennes

Qu’entendre par  « mesures applicables pérennes » ? C’est une règle, une loi ou une décision qui va rester en place sur le long terme, même si la loi de finances pour 2025 n’est pas adoptée. En d’autres termes, ce sont toutes les nouvelles règles qui entreront en vigueur le 1er janvier 2025 grâce à des lois ou des décrets déjà existants.

 

01 – Gérer son entreprise

Fin de la procédure de continuité du guichet unique au 31 décembre 2024

Afin de faciliter la vie des entreprises, l’État a ouvert en janvier 2023 le guichet unique des formalités d’entreprises, opéré par l’Institut national de la propriété industrielle (INPI). Une solution alternative de continuité était toutefois maintenue via Infogreffe. Le guichet étant pleinement fonctionnel, cette procédure de continuité s’arrêtera le 31 décembre 2024. En savoir plus

Entreprises en difficulté : désignation et instauration des tribunaux des activités économiques

Un arrêté du 5 juillet 2024 désigne les 12 tribunaux de commerce qui deviendront des tribunaux des activités économiques à partir du 1er janvier 2025. En savoir plus

Mise en place obligatoire d’un dispositif de partage de la valeur dans certaines entreprises

Afin de faciliter la généralisation des dispositifs de partage de la valeur, la loi du 29 novembre 2023 met en place une expérimentation obligatoire d’une durée de cinq ans dans les entreprises répondant aux critères suivants :

  • effectif compris entre 11 et 49 salariés,
  • activité exercée sous la forme juridique de société,
  • bénéfice net fiscal au moins égal à 1 % des recettes pendant trois années consécutives.

Dans ces entreprises, le partage de valeur obligatoire peut correspondre :

  • à la signature d’un accord de participation ou d’intéressement,
  • à l’abondement d’un plan d’épargne salariale (PEE, PEI, PÈRE-CO, PERE-CO-I, PERCO, PERCO-I),
  • ou au versement de la prime de partage de la valeur.

Cette obligation s’applique aux exercices ouverts à compter du 1er janvier 2025. Les exercices 2022, 2023 et 2024 sont pris en compte pour l’appréciation du respect de la condition relative à la réalisation du bénéfice net fiscal. En savoir plus

Aide à l’embauche d’un apprenti

L’aide exceptionnelle aux entreprises recourant à l’apprentissage est reconduite en janvier 2025. Dans le courant du mois de janvier 2025, un décret déterminera l’aide au recrutement d’apprentis selon les nouvelles modalités suivantes :

  • 6 000 € maximum pour le recrutement d’apprentis en situation de handicap,
  • 5 000 € maximum pour les entreprises de moins de 250 salariés,
  • 2 000 € maximum pour les entreprises de 250 salariés et plus.

Par ailleurs, comme l’indique le ministère du Travail, dans l’attente de la publication du décret, pour tous les contrats d’apprentissage conclus à partir du 1er janvier 2025, une aide de 6 000 € maximum est accordée pour la première année d’exécution du contrat pour la préparation d’un titre ou diplôme jusqu’au niveau baccalauréat (bac+2 pour les Outre-mer), uniquement pour les entreprises de moins de 250 salariés. En savoir plus

 

02 – Fiscalité

Évolution des taxes sur l’affectation des véhicules à des fins économiques

À compter du 1er janvier 2025, les taxes sur l’affectation des véhicules à des fins économiques, anciennement connues sous le nom de taxe sur les véhicules de société (TVS), subiront plusieurs modifications importantes :

  • les tarifs relatifs à la taxe annuelle sur les émissions de CO₂ augmentent et évoluent,
  • les véhicules hybrides ne seront plus exonérés de la taxe annuelle sur les émissions de CO₂,
  • la définition des véhicules soumis à ces taxes sera également modifiée, notamment pour les véhicules de type « camionnette » (catégorie N1).

En savoir plus sur les taxes sur l’affectation des véhicules à des fins économiques

Nouveaux taux du versement mobilité

Les taux du versement mobilité sont réévalués deux fois par an : le 1er janvier et le 1er juillet. Ainsi, au 1er janvier 2025, le champ d’application et le taux de versement mobilité évoluent. En savoir plus

Évolution des règles du régime franchise en base de TVA

Un nouveau décret, en vigueur au 1er janvier 2025, définit de nouvelles règles pour le régime de franchise en base de taxe sur la valeur ajoutée (TVA) en France, tout en alignant ces dispositions sur les évolutions européennes. En savoir plus

Évolution des plafonds d’exonérations de CFE dans les zones urbaines en difficulté

Les entreprises situées dans des zones urbaines en difficulté bénéficient d’exonérations temporaires de cotisation foncière des entreprises (CFE). Les plafonds de ces exonérations seront relevés pour l’année 2025. En savoir plus

 

Mesures applicables en suspens

Qu’entendre par  « mesures applicables en suspens » ? Ce sont des règles qui sont en vigueur pour le moment, mais qui pourraient changer. En effet, ces règles pourraient être modifiées à nouveau si un nouveau budget est adopté en 2025.

01 – Fiscalité

Fin du dispositif d’exonération d’impôt en zones franches urbaines – territoires entrepreneurs (ZFU-TE)

Le dispositif d’exonération d’impôt en zones franches urbaines ne sera plus disponible au 1er janvier 2025, en l’absence de loi de finances le prorogeant. Ce dernier permettait aux entreprises implantées dans les ZFU-TE de bénéficier d’une exonération d’impôt sur les bénéfices (impôt sur les sociétés ou impôt sur le revenu) pendant cinq ans aux entreprises implantées dans ces zones.

Toutefois, notez que les exonérations sont toujours valables pour les créations ou extensions d’entreprises intervenant jusqu’au 31 décembre 2024. D’ailleurs, les plafonds d’exonérations de CFE pour les entreprises situées dans une zone urbaine en difficulté ont été réévalués à la hausse (+3,6 %) compte tenu de la variation des prix constatée par l’Insee. En savoir plus sur le dispositif ZFU-TE / En savoir plus sur la revalorisation des plafonds d’exonérations de CFE

Fin du dispositif d’exonération fiscale pour les entreprises implantées dans les quartiers prioritaires de la ville (QPV)

Le dispositif d’allégement fiscal destiné aux entreprises s’implantant dans quartiers urbains en difficulté ne sera plus disponible au 1er janvier 2025, en l’absence de loi de finances le prorogeant. Toutefois, notez que les exonérations sont toujours valables pour les créations ou extensions d’entreprises intervenant jusqu’au 31 décembre 2024.

D’ailleurs, les plafonds d’exonérations de CFE pour les entreprises situées dans une zone urbaine en difficulté ont été réévalués à la hausse (+3,6 %) compte tenu de la variation des prix constatée par l’Insee. En savoir plus sur le dispositif QPV / En savoir plus sur la revalorisation des plafonds d’exonérations de CFE

Fin du dispositif d’exonération d’impôt pour les entreprises implantées dans des bassins d’emploi à redynamiser (BER)

Le dispositif d’exonérations fiscales et sociales destiné aux entreprises s’implantant dans des territoires dits en BER ne sera plus disponible au 1er janvier 2025, en l’absence de loi de finances le prorogeant.

A savoir | Pour les entreprises s’installant dans des zones visées par des encouragements fiscaux, le Gouvernement soutiendra l’adoption dans le futur projet de loi de finances pour 2025 de :

  • l’octroi des avantages propres au zonage France Revitalisation Rurale (FRR) pour les entreprises installées à compter du 1erjuillet 2024 dans les communes anciennement classées en ZRR et sorties du classement FRR,
  • la reconduction pour les installations d’entreprises en 2025 des avantages fiscaux inhérents aux Zones Franches Urbaines (ZFU) et QPV (Quartiers Prioritaires de la Ville) tels qu’ils s’appliquaient aux installations d’entreprises jusqu’au 31 décembre 2024,
  • la reconductions des avantages propres aux Bassins d’Emploi à Redynamiser (BER) pour les entreprises qui s’y installeront jusqu’en 2027.

 

02 – Ressources humaines

Exonération des frais de transport des salariés : retour au taux légal obligatoire de 50 %

Depuis août 2022, la prise en charge des frais de transports publics est exonérée de cotisations sociales jusqu’à 75 % du coût des titres d’abonnement pour le salarié. En l’absence de l’adoption du budget 2025, la prolongation de cette mesure au-delà du 31 décembre 2024 n’a pas été validée. Par conséquent, à compter du 1ᵉʳ janvier 2025, la prise en charge des frais de transport par l’employeur reviendra donc au taux légal obligatoire de 50 %. En savoir plus

 

03 – Aides publiques et financements

Fin du crédit d’impôt innovation (CII)

Le crédit d’impôt Innovation (CII), destiné à soutenir les PME dans leurs projets innovants, ne sera pas prolongé au-delà du 31 décembre 2024 en raison de l’absence d’adoption du budget 2025. En savoir plus

A savoir : Pour le crédit d’impôt innovation (CII), le Gouvernement appuiera une reconduction de la dépense fiscale à compter du 1er janvier, mais avec un taux d’aide ramené de 30 % à 20 %.

Fin du crédit d’impôt pour la formation des dirigeants

Le crédit d’impôt pour la formation des dirigeants d’entreprise prendra fin au 31 décembre 2024 en l’absence de prolongation habituellement précisée dans la loi de finances. Instauré en 2006, il permet aux entreprises de bénéficier d’un avantage fiscal lorsqu’elles engagent des dépenses pour la formation de leurs dirigeants. En savoir plus

 

Sources : © Economie.gouv 2025 – Retrouvez d’autres d’actualités sur le blog de l’Atwo Conseil !

Titres-restaurant : prolongation de l’usage dérogatoire jusqu’en 2026 !

Titres-restaurant : prolongation de l’usage dérogatoire jusqu’en 2026 !

par | Jan 23, 2025 | Non classé

Titres-restaurant : à (nouveau) utilisable pour tout achat alimentaire !

Après une suspension des travaux parlementaires en décembre 2024 due à la censure du Gouvernement Barnier, la proposition de loi visant à prolonger la dérogation d’usage des titres-restaurant pour tout achat alimentaire vient d’être prolongée jusqu’en 2026. On fait le point sur ce feuilleton !

De quoi parle-t-on ? Les titres-restaurants sont un avantage social accordé au salarié qui permet initialement l’achat d’un repas par journée travaillée et qui repose sur un cofinancement, auquel participe l’employeur.

Pour rappel, la loi dite « pouvoir d’achat » du 16 août 2022 avait autorisé les salariés à utiliser les titres-restaurant pour payer (tout ou en partie) le prix d’un produit alimentaire, qu’il soit ou non directement consommable, acheté auprès d’une personne ou d’un organisme habilité à accepter ces titres. Concrètement, les salariés pouvaient, grâce à cette loi, payer leurs courses avec ce moyen de paiement, ce qui n’était pas le cas avant.

Cette dérogation, en vigueur jusqu’au 31 décembre 2024, devait initialement faire l’objet d’une nouvelle prorogation jusqu’en 2026. Cependant, ce projet a été suspendu suite à la censure du Gouvernement Barnier en décembre 2024, car le budget 2025 n’a pas pu être voté à temps.

Aussi, cette situation a suscité de vives réactions de salariés peinés de ne plus pouvoir utiliser leurs titres-restaurant pour faire leurs courses.

Finalement, le feuilleton ne s’arrête pas là : retournement de situation ! Le Sénat s’est empressé, le 14 janvier dernier, de faire voter la loi rapidement, réinstaurant ainsi cette possibilité de continuer à utiliser les titres-restaurant pour payer pâtes, riz, et autres fruits et légumes, dès le 23 janvier 2025 et ce, jusqu’à la fin 2026. Quant au plafond journalier d’utilisation, il reste fixé, comme depuis le 1er octobre 2022, à 25 € par jour.

 

Concrètement, quels produits sont concernés ?

Pour plus de précision, voici la liste des produits, dressée par le site service-public.fr, que les salariés concernés peuvent acheter au supermarché avec ce mode de paiement  :

  • les viandes crues et les poissons frais non transformés ;
  • les pâtes, le riz, les féculents et les autres produits de base vendus au rayon « épicerie » (huile, farine, sucre…) ;
  • les viennoiseries et autres desserts sucrés qui ne sont pas à base de produits laitiers ;
  • des fruits et légumes ;
  • du lait ;
  • des eaux plates et gazeuses, ainsi que des jus de fruits et des boissons non alcoolisées ;
  • des tartes salées, des quiches et des pizzas ;
  • de la charcuterie ;
  • des conserves.

À noter que certains produits ne peuvent toujours pas être achetés avec des titres-restaurant. Il s’agit :

  • des boissons alcoolisées ;
  • des confiseries ;
  • des produits infantiles ;
  • des produits animaliers ;
  • des produits non alimentaires.

 

Sources : © WebLex 2025 et Actu.fr – Retrouvez d’autres d’actualités sur le blog de l’Atwo Conseil !

Économie Sociale et Solidaire : obtention de l’agrément ESUS

Économie Sociale et Solidaire : obtention de l’agrément ESUS

par | Jan 14, 2025 | Non classé

Économie sociale et solidaire : quelles conditions pour bénéficier de l’agrément ESUS ?

Les entreprises de l’économie sociale et solidaire (ESS) peuvent bénéficier d’un agrément « Entreprise solidaire d’utilité sociale » (ESUS), mis en place depuis 2014 et qui permet de bénéficier d’aides et de financements spécifiques. À quelles conditions ?

L’agrément « Entreprise Solidaire d’Utilité Sociale » (ESUS) dont peuvent bénéficier les entreprises de l’économie sociale et solidaire (ESS) permet de faciliter leur accès à des outils de financement favorables et adaptés au secteur.

Toutes conditions d’éligibilité remplies et par principe, il est délivré pour une durée de 5 ans par le préfet du département où l’entreprise éligible a son siège social, ou par le préfet de région (pour certaines régions désignées par le ministre chargé de l’économie sociale et solidaire).

Mais, en plus des ESS éligibles par nature ou de plein droit, cet agrément peut également être délivré aux entreprises dites « assimilées » à ces ESUS et dont la liste vient d’évoluer :

Ainsi, depuis le 1er janvier 2025, les organismes de placements collectifs (fonds et sicav) dont l’actif est composé pour au moins 50% de titres émis par les ESUS (ou entreprises assimilées) peuvent être, eux aussi, assimilés à une ESUS et donc éligibles à la délivrance de l’agrément.

Pour y prétendre, son gestionnaire devra communiquer à l’administration, avant le 20 juin de l’année, un rapport certifié par le commissaire aux comptes justifiant du respect de cette condition.

Par dérogation, un organisme de placement collectif nouveau pourra être déclaré assimilé à une ESUS sans être tenu d’établir que son actif est investi pour au moins 50 % de sa valeur dans des titres émis par des ESUS si ses statuts ou son règlement contiennent l’engagement de respecter cette participation au plus tard à la fin de l’année qui suit sa création.

Notez que, pour le calcul de la part de 50 % de titres émis par des ESUS :

  • les engagements de versements, de même que les capitaux et les souscriptions non libérés, ne sont pas pris en compte pour le contrôle du respect de cette condition de 50% ;
  • le montant des rachats de parts et des distributions engagés, mais non encore réalisés, est déduit ;
  • les nouveaux versements, apports et souscriptions, ainsi que les augmentations de capital, peuvent ne pas être pris en compte dans le calcul de la part de 50 % pendant 6 mois à compter du versement ou de leur libération effective, sous réserve que le gestionnaire du placement collectif en informe l’administration ;
  • en cas d’échanges de titres précédemment inclus dans le calcul de la part de 50 %, les nouveaux titres peuvent être pris en compte dans ce calcul même s’ils ne sont pas eux-mêmes éligibles, pendant 2 ans à compter de l’échange (ou jusqu’à la fin de la période pendant laquelle l’organisme de placement collectif s’est engagé à les conserver, si cette durée est supérieure).

Dans l’hypothèse où un organisme de placement collectif bénéficiant de l’agrément ne respecterait plus la condition tenant à la part minimale de 50 % de titres émis par des ESUS, le bénéfice de l’agrément reste acquis, en cours d’année ou lors d’un renouvellement, si cette circonstance ne résulte pas d’un acte de gestion imputable à son gestionnaire et si sa situation est régularisée au plus tard dans un délai de 6 mois (décompté à partir de l’état comptable ayant fait apparaître que cette condition n’est plus respectée).

Rappelons que la délivrance de l’agrément reste conditionnée par la transmission à l’autorité préfectorale compétente d’un dossier complet, dont la composition varie en fonction de l’entreprise désignée.

Sources : © WebLex 2025 – Retrouvez d’autres d’actualités sur le blog de l’Atwo Conseil !

Aides à l’embauche des apprentis : ce qui a changé depuis le 1er janvier

Aides à l’embauche des apprentis : ce qui a changé depuis le 1er janvier

par | Jan 7, 2025 | Non classé

Aides à l’embauche des apprentis : ce qui a changé depuis le 1er janvier

Depuis des mois, le montant de l’aide à l’embauche d’apprentis est en pleine discussion. Quelle décision a finalement été prise ? Et quelles seront les conséquences sur les entreprises ?

Le dispositif d’aide à l’embauche d’apprentis, d’un montant uniforme pour toutes les entreprises, de 6 000 euros jusqu’à fin 2024, évolue en 2025.

Le gouvernement a dernièrement annoncé son maintien, mais avec des montants réduits :

  • 5 000 euros pour les entreprises de moins de 250 salariés.
  • 2 000 euros pour les entreprises de 250 salariés et plus, sous certaines conditions.

 

Cette décision évite un retour à la situation prévue avant la crise sanitaire, où seules les petites entreprises étaient concernées par ces aides. Le gouvernement souhaite ainsi continuer à soutenir l’apprentissage dans toutes les structures, quels que soient le secteur ou le niveau de diplôme préparé.

En maintenant une aide à l’embauche d’apprentis pour tous les niveaux de diplôme, le gouvernement répond à la demande des entreprises de disposer de main-d’œuvre qualifiée. Ce soutien est perçu comme un élément clé pour assurer la continuité des embauches dans des secteurs stratégiques.

Sources : © Culture RH 2025 – Retrouvez d’autres d’actualités sur le blog de l’Atwo Conseil !

Cybermois 2024 : La sécurisation du télétravail

Cybermois 2024 : La sécurisation du télétravail

par | Oct 18, 2024 | Non classé

Cybermois 2024 : La sécurisation du télétravail

Le développement du télétravail présente de réelles opportunités tant pour les collaborateurs que pour les employeurs. Il nécessite toutefois généralement l’ouverture vers l’extérieur du système d’information de votre entreprise, ce qui peut engendrer de sérieux risques de sécurité susceptibles de mettre à mal votre organisation, voire d’engager sa survie en cas de cyberattaque (rançongiciel, vol de données, faux ordres de virement…). Voici 10 recommandations à mettre en œuvre pour limiter au mieux les risques.

 

1. Définissez et mettez en œuvre une politique d’équipement des télétravailleurs

Privilégiez autant que possible l’utilisation de moyens mis à disposition, sécurisés et maîtrisés par votre organisation. Lorsque ce n’est pas possible, donnez des directives d’utilisation et de sécurisation claires aux employés en ayant conscience que leurs équipements personnels ne pourront jamais avoir un niveau de sécurité vérifiable (voire sont peut-être déjà compromis par leur usage personnel).

2. Maîtrisez vos accès extérieurs

Limitez par un pare-feu l’ouverture de vos accès extérieurs ou distants (RDP par exemple) aux seules personnes et services indispensables, et filtrez strictement ces accès grâce à cet équipement de sécurité. Une attention toute particulière sera portée sur les éventuels accès de télémaintenance qui peuvent présenter une vulnérabilité importante s’ils sont compromis. Cloisonnez également les systèmes pour lesquels un accès à distance n’est pas nécessaire pour les préserver, surtout s’ils revêtent un caractère sensible pour l’activité de votre organisation (comme les réseaux de sauvegardes et les réseaux d’administration informatique par exemple).

3. Sécurisez vos accès extérieurs

Systématisez les connexions sécurisées à vos infrastructures par l’utilisation d’un « VPN » (Virtual Private Network ou « réseau privé virtuel » en français). Outre le chiffrement de vos connexions extérieures, ces dispositifs permettent également de renforcer la sécurité de vos accès distants en les limitant aux seuls équipements authentifiés. La mise en place d’une double authentification sur ces connexions VPN sera également à privilégier pour se prémunir de toute usurpation.

4. Renforcez votre politique de gestion des mots de passe

Qu’il s’agisse des mots de passe des utilisateurs en télétravail, mais aussi de ceux en charge du support informatique, les mots de passe doivent être suffisamment longs, complexes et uniques sur chaque équipement ou service utilisé. La majorité des attaques est due à des mots de passe trop simples ou réutilisés. Au moindre doute ou même régulièrement en prévention, changez-les et activez la double authentification chaque fois que cela est possible.

5. Ayez une politique stricte de déploiement des mises à jour de sécurité

Et ce, dès qu’elles sont disponibles et sur tous les matériels et logiciels accessibles de votre système d’information (postes nomades, de bureau, tablettes, smartphones, serveurs, équipements réseaux ou de sécurité…) car les cybercriminels mettent peu de temps à exploiter les failles lorsqu’ils en ont connaissance. Un défaut de mise à jour d’un équipement est souvent la cause d’une intrusion dans le réseau des organisations.

6. Durcissez la sauvegarde de vos données

Les sauvegardes seront parfois le seul moyen pour l’organisation de recouvrer ses données suite à une cyberattaque. Les sauvegardes doivent être réalisées et testées régulièrement pour s’assurer qu’elles fonctionnent. Des sauvegardes déconnectées sont souvent indispensables pour faire face à une attaque destructrice par rançongiciel (ransomware). En outre, il convient également de s’assurer du niveau de sauvegarde des données des postes nomades des collaborateurs et de celles de ses hébergements externes (cloud, site Internet de l’organisation, service de messagerie…) pour vérifier que le service souscrit est bien en adéquation avec les risques encourus par votre organisation

7. Télétravail : utilisez des solutions antivirales professionnelles

Ces solutions permettent de protéger les organisations de la plupart des attaques virales connues, mais également parfois des messages d’hameçonnage (phishing), voire de certains rançongiciels (ransomware). Utiliser des solutions différentes pour la protection des infrastructures et pour les terminaux peut s’avérer complémentaire et démultiplier ainsi l’efficacité de la protection dans un principe de défense en profondeur.

8. Mettez en place une journalisation de l’activité de tous vos équipements d’infrastructure

Ayez une journalisation systématique et d’une durée de rétention suffisamment longue de tous les accès et activités de vos équipements d’infrastructure (serveurs, pare-feu, proxy…), voire des postes de travail. Cette journalisation sera souvent le seul moyen de pouvoir comprendre comment a pu se produire une cyberattaque et donc de pouvoir y remédier, ainsi que d’évaluer l’étendue de l’attaque.

9. Supervisez l’activité de vos accès externes et systèmes sensibles

Cette supervision doit vous permettre de pouvoir détecter le plus rapidement possible toute activité anormale qui pourrait être le signe d’une cyberattaque, tels une connexion suspecte d’un utilisateur inconnu ou d’un utilisateur connu en dehors de ses horaires habituels, ou encore un volume inhabituel de téléchargement d’informations…

10. Sensibilisez et apportez un soutien réactif à vos collaborateurs en télétravail

Donnez aux télétravailleurs des consignes claires et formalisées sur ce qu’ils peuvent faire ou ne pas faire et sensibilisez-les aux risques de sécurité liés au télétravail. Cela, avec pédagogie pour vous assurer de leur adhésion et donc, de l’efficacité des consignes. Les utilisateurs sont souvent le premier rempart pour éviter, voire détecter les cyberattaques. Ces utilisateurs coupés de leur organisation ont également besoin d’un soutien de qualité et réactif pour éviter toute dérive.

Pour aller plus loin : nous vous encourageons à sensibiliser vos collaborateurs en mettant à disposition cette fiche pratique.

Sources : © Cybermalveillance.Gouv 2024 – Retrouvez d’autres d’actualités sur le blog de l’Atwo Conseil !

Cybermois 2024 : Comment sécuriser son site internet ?

Cybermois 2024 : Comment sécuriser son site internet ?

par | Oct 7, 2024 | Non classé

Cybermois 2024 : Comment sécuriser son site Internet ?

Découvrez 10 bonnes pratiques à adopter ou faire appliquer par votre prestataire pour assurer la sécurité de votre site Internet.

Vitrine promotionnelle des organisations (entreprises, collectivités, associations…), voire élément clé de leur activité, les sites Internet ou « sites Web » sont des éléments très exposés de leur système d’information. Ils peuvent être la cible de nombreuses attaques comme les défigurations, les dénis de service, ou même le vol des données personnelles ou bancaires des internautes s’étant créé un compte sur le site… Ces attaques peuvent entraîner de graves préjudices pour l’organisation qui en est victime : atteinte à l’image et à la réputation, pertes directes de revenus, etc. Que l’hébergement du site et son administration soient internalisés ou externalisés, il est essentiel de les sécuriser au mieux pour réduire les risques de piratage. Voici 10 bonnes pratiques à mettre en œuvre pour assurer la sécurité de votre site Internet.

 

1. Sécurisez le serveur hébergeant votre site Internet

Protégez votre serveur en adoptant une stratégie de « défense en profondeur » qui vise à mettre en œuvre plusieurs mesures de protection indépendantes au niveau de l’architecture matérielle et logicielle du serveur et de son infrastructure d’hébergement. Par exemple, mettez en place et installez des équipements de sécurité (pare-feu, serveur mandataire inverse, solution anti-DDoS…) et des solutions logicielles (antivirus, pare-feu applicatif…) pour pouvoir faire face aux principales menaces. Si vous avez recours à un hébergement externalisé, assurez-vous des moyens mis en œuvre par votre prestataire pour protéger votre site.

 

2. Configurez et sécurisez votre serveur en fonction de votre juste besoin

Configurez et sécurisez votre serveur en fonction des seuls services indispensables à votre activité, en partant du principe que tout ce qui n’a pas besoin d’être autorisé doit être interdit pour éviter les points d’accès inutiles et potentiellement dangereux. Protégez-le également lors de sa configuration en instaurant certaines règles comme le filtrage d’adresses IP ou de requêtes autorisées pour son administration, l’interdiction de certains formats de fichiers à risque si vous n’en avez pas l’utilité, etc. Réduisez au maximum les informations délivrées par les services ainsi que dans le code source de votre site Internet et bloquez la navigation dans vos dossiers afin d’empêcher l’affichage du contenu des répertoires de votre site Internet. Par ailleurs, désactivez et/ou limitez les services et fonctionnalités non utilisés pour réduire les risques inutiles de piratage.

3. Mettez à jour sans tarder les équipements et les logiciels de votre site Internet

Une grande majorité d’attaques de sites Internet est rendue possible par l’exploitation de failles de sécurité par les cybercriminels qui peuvent ainsi prendre le contrôle du système. Ces failles sont pourtant régulièrement corrigées par les éditeurs et constructeurs, mais ces correctifs ne sont pas toujours appliqués en temps utiles. Il est donc indispensable d’effectuer les mises à jour de sécurité des équipements et des logiciels (système d’exploitation, système de gestion de contenu, base de données, modules complémentaires, extensions…) de votre site Internet dès qu’elles sont disponibles. Lorsque c’est possible, configurez vos équipements et vos logiciels pour que les mises à jour se téléchargent et s’installent automatiquement.

4. Utilisez un mot de passe suffisamment long, complexe et différent pour chaque service

Pour réduire les risques de piratage et sécuriser au mieux vos comptes privilégiés, notamment les comptes d’administrateurs de votre site Internet, utilisez des mots de passe suffisamment longs, complexes et suffisamment différents pour chaque service. Imposez également l’utilisation d’un mot de passe solide aux utilisateurs disposant de droits sur le site Internet et veillez à leur renouvellement régulier ou à la moindre suspicion de divulgation. Si possible, activez la double authentification.

5. Réalisez des sauvegardes régulières de votre site (données et configuration)

En cas de panne, de piratage ou de destruction de vos équipements, vous pouvez perdre les données enregistrées sur ces supports. Aussi, effectuez des sauvegardes régulières de votre site web, de sa configuration et de ses bases de données, et testez sa restauration pour vous assurer de son bon fonctionnement. En cas de besoin, vous pourrez ainsi restaurer votre site Internet à une date antérieure à l’incident. Choisissez une solution de sauvegarde adaptée à vos besoins et pensez à déconnecter votre support de sauvegarde après utilisation pour qu’il ne soit pas exposé à une attaque.

6. Sécurisez les communications de votre site Internet à l’aide du protocole HTTPS

Le protocole HTTPS est un protocole de communication Internet qui assure la sécurité des données lors du transfert d’information entre l’ordinateur de l’internaute et le site Internet. Configurez votre serveur pour n’utiliser que le protocole HTTPS et éviter ainsi que des cybercriminels n’interceptent les données qui transitent, comme les données de connexion, les témoins de connexion (cookies), les informations bancaires, etc. À noter que certains navigateurs Internet parmi les plus répandus indiquent désormais à tout internaute si un Internet n’est pas protégé par le protocole HTTPS.

7. Limitez le nombre d’utilisateurs et leurs privilèges

Pour réduire les risques de compromission liée à un piratage de compte, il convient de se conformer au principe de « moindre privilège » en limitant, d’une part, le nombre d’utilisateurs ayant accès aux outils et fonctionnalités d’administration du site Internet et, d’autre part, leurs privilèges et droits d’accès. Définissez des rôles d’utilisateurs et les privilèges qui leurs sont associés pour que chaque utilisateur dispose uniquement des droits d’accès nécessaires à l’accomplissement de ses tâches. Privilégiez des comptes utilisateurs individuels à des comptes génériques ou fonctionnels, en particulier pour les utilisateurs privilégiés (administrateurs), sous peine d’augmenter les risques de compromission en cas de divulgation de leurs mots de passe.

8. Protégez votre nom de domaine

L’adresse d’un site Internet est composée d’un préfixe (ex : www) et d’un nom de domaine unique constitué d’une chaîne de caractères et d’une extension (ex : .fr, .com). Par exemple : « www.monnomdedomaine.fr ». Il est important de protéger le nom de domaine de son site pour éviter qu’il ne soit utilisé pour en faire un usage frauduleux. Enregistrez votre nom de domaine sous forme de marque auprès de l’INPI en complément de sa réservation auprès d’un bureau d’enregistrement. Mettez en place et adoptez une politique de gestion de votre nom de domaine pour le sécuriser. Par ailleurs, d’un point de vue technique, utilisez des solutions comme le verrou de registre (.FR Lock pour un domaine en .fr) et DNSSEC, recommandées par l’AFNIC, pour réduire les risques de piratage. Enfin, il faut savoir qu’un nom de domaine s’enregistre pour une période déterminée (1 à 10 ans). Veillez donc bien à renouveler en temps et en heure cet enregistrement au risque de voir votre nom de domaine libéré et réutilisé par un tiers à des fins malveillantes

9. Soyez vigilant lorsque vous utilisez des extensions pour votre logiciel de gestion de contenu

De nos jours, les systèmes de gestion de contenu (content management system ou CMS en anglais), comme WordPress ou Joomla!, proposent de leur adjoindre des extensions pour ajouter des fonctionnalités. Ces extensions peuvent constituer une brèche dans la sécurité de votre site Internet si elles sont obsolètes, non mises à jour ou insuffisamment sécurisées. Aussi, avant utilisation, vérifiez sa notoriété ainsi que sa date de dernière mise à jour qui, si elle remonte à plusieurs années, indique que l’extension n’est plus maintenue par son développeur. En outre, ne téléchargez vos extensions qu’auprès du site officiel de l’éditeur de votre CMS.

10. Surveillez l’activité de votre site Internet au quotidien

Surveillez régulièrement l’activité de votre site Internet, notamment celle de votre système de gestion de contenu (mise à jour d’articles, connexion au portail d’administration du site Internet, dépôt de fichiers…) pour y détecter une activité inhabituelle et prendre, le cas échéant, les mesures nécessaires à la résolution de l’incident. À noter qu’il existe des extensions qui visent à renforcer la sécurité et surveiller votre site Internet.

Pour aller plus loin : Par l’ANSSI : Recommandations pour la sécurisation des sites web | Par l’AFNIC : Guide pratique du titulaire d’un nom de domaine .FR

 

Sources : © Cybermalveillance.Gouv 2024 – Retrouvez d’autres d’actualités sur le blog de l’Atwo Conseil !