La sécurité - le parent pauvre des sites web

La sécurité est souvent laissée de côté lors de la création ou de la refonte d'un site web. Pourtant, c'est un point essentiel, la négliger serait une erreur, potentiellement lourde en conséquences.

Cet article prend 4 minutes à lire et comporte 968 mots.

Créer un site web par soi-même est devenu un jeu d’en­fant, grâce aux outils tels que WordPress. Assurer sa sécu­rité, par contre, n’est pas aussi simple.

Entre autre, parce que l’ac­ti­va­tion d’un certi­fi­cat SSL, s’il est indis­pen­sable, n’est pas suffi­sant pour assu­rer la sécu­rité d’un site. Il permet de sécu­ri­ser les tran­sac­tions entre l’in­ter­naute et le site, mais il ne protège en rien le site lui-même des attaques, des intru­sions, du pira­tage (hacking), du défa­ce­ment ou du vol de données.

Le risque est-il si déri­soire, que les entre­prises préfèrent inves­tir dans d’autres postes en négli­geant la protec­tion de leur outil (ou d’un de leurs outils) de travail ?

Non, pas vrai­ment. C’est plus par mécon­nais­sance, et parce qu’ils ne se posent pas forcé­ment les bonnes questions.

La première, c’est…

Qu’est-ce que la sécurité pour un site web ?

Sous le terme géné­rique sécu­rité, nous trou­vons un ensemble de concepts complé­men­taires : la sécu­rité des échanges avec les inter­nautes, qui est assu­rée par les certi­fi­cats SSL et le proto­cole HTTPS, ou mieux, HSTS, n’est qu’une partie de cet ensemble.

La sécu­rité comprend égale­ment toutes les procé­dures permet­tant de contrer les attaques visant à rendre inac­ces­sible votre site ou visant direc­te­ment vos données, que ce soit pour les détruire, les corrompre ou les voler.

Vient ensuite…

La sécurité de mon site est-elle vraiment importante ?

Fermez-vous à clé votre maison ou votre appar­te­ment quand vous partez ? Fermez-vous votre véhi­cule quand vous en sortez ? Vos locaux profes­sion­nels sont-ils fermés et sécu­ri­sés en votre absence ? Avez-vous un mot de passe (ou toute autre système d’iden­ti­fi­ca­tion) pour acti­ver votre smart­phone ? Votre Wifi d’en­tre­prise (ou person­nel) est il protégé par une clé WEP ou WPA ?

À ces cinq ques­tions, la plupart d’entre nous répon­dra : « oui, évidem­ment ! ». Vous ne lais­sez péné­trer personne à votre insu dans votre vie privée, mais vous lais­se­riez la porte grande ouverte à qui voudrait s’in­tro­duire dans vos systèmes de données en ligne ?

L’utilité d’une protec­tion acquise, la ques­tion suivante, c’est…

Comment assurer la protection de mon site ?

Testez votre site

Tout d’abord, il est indis­pen­sable d’éta­blir un diag­nos­tic. Deux outils en ligne vous y aide­ront, il s’agit de WebPageTest dans un premier temps, et de Qualys – SSL Labs ensuite.

En fait, vous devriez avoir un score de A+ sur WebPageTest et avec Qualys pour être bien protégé.

Et si votre pres­ta­taire de service ne voit pas l’im­por­tance d’une sécu­rité renfor­cée, ou ne parvient pas à vous obte­nir un A+, chan­gez sans tarder de pres­ta­taire.

Voici les résul­tats pour un site que j’ai développé :

Nota : la lettre B est elle aussi en vert chez WebPageTest, mais pour la sécu­rité, visez le A+. Le A est un pis-aller, le B n’est pas une option envisageable.

Établissez un plan d’action

En fonc­tion de votre score et des points marqués en rouge ou en orange, vous allez pouvoir déter­mi­ner les actions à mener. 

Les ques­tions suivantes vous permet­tront de le faire de manière exhaustive :

• Quelles sont les failles de sécu­rité éven­tuelles sur mon site ? Si vous avez un ou plusieurs points en rouge au test Qualys, il vous faudra les trai­ter en prio­rité, sans tarder.
• Ai-je la possi­bi­lité de modi­fier les éléments à risque direc­te­ment ou via mon héber­geur ? Si ce n’est pas possible, chan­gez d’hé­ber­geur, sécu­ri­ser son site vaut la perte de quelques dizaines d’euros.
• Ai-je les compé­tences néces­saires pour effec­tuer ces modi­fi­ca­tions sans tout casser ? Si ce n’est pas le cas, tour­nez vous vers un pres­ta­taire sérieux, qui a fait ses preuves (si son propre site n’ob­tient pas les scores de A en sécu­rité aux deux tests, chan­gez de crèmerie).

Si vous déci­dez de passer par un pres­ta­taire de services, véri­fiez son offre : la sécu­rité ne doit pas se limi­ter à l’émis­sion d’un certi­fi­cat SSL et à la mise à jour de WordPress, de ses exten­sions et thèmes, à une exten­sion dite de sécu­rité (même si elle est indis­pen­sable), ou unique­ment a poste­riori pour restau­rer après une attaque, elle doit être pro-active.

Attention ! Ne confon­dez pas la sauve­garde, utile pour remettre un site en ligne après une attaque, et la gestion de la sécurité. 

Les données volées par exemple lors d’une attaque sont défi­ni­ti­ve­ment volées, avoir une sauve­garde ne chan­gera pas la donne, vous aurez à vous en expli­quer, auprès de la CNIL, et auprès de vos clients ou abonnés.

S’il y a eu défaillance de votre part, vous risquez des sanc­tions, tant de la CNIL que de vos clients que vous ferez fuir. Et même si vous n’êtes pas le respon­sable direct, parce que vous avez confié votre sécu­rité à un incom­pé­tent, vous serez quand même tenu pour respon­sable. Votre entre­prise, votre gestion du risque.

Et ensuite ?

Surtout, ne croyez pas que parce que vous avez sécu­risé votre site contre les attaques exté­rieures et au niveau des échanges site / inter­nautes, vous n’avez plus rien à faire.

La tech­no­lo­gie évolue, les hackers tirent parti des tech­no­lo­gies vieillis­santes pour exploi­ter des failles connues et en découvrent de nouvelles chaque jour.

Il vous faut donc vous tenir à jour, instal­ler les mises à jour de WordPress, de ses exten­sions et de ses thèmes.

Si votre héber­ge­ment est mutua­lisé, votre héber­geur doit mettre à jour sa plate­forme et la patcher régu­liè­re­ment. Si vous gérez aussi la partie serveur, c’est à vous de vous en occuper.

Mon site est sécurisé, je ne cours donc aucun risque !?

Pas vrai­ment. Rappelez vous : la perfec­tion n’est pas de ce monde. Le risque zéro n’existe pas. Mais on peut s’en rapprocher.

Et si vous avez mis en place une vraie poli­tique de sécu­rité, et que malheu­reu­se­ment, vous subis­sez une attaque, les consé­quences (clien­tèle, légales et finan­cières) ne seront pas les mêmes.

Personne ne vous en voudra d’avoir subi une attaque. On vous en voudra par contre de ne pas avoir anticipé.

Maintenant, c’est à vous, prenez les mesures qui s’im­posent pour conti­nuer votre acti­vité en toute sérénité.