Sécurité d'un site web : ce qui compte au-delà du SSL

Un certificat SSL/TLS est une technologie qui chiffre les données circulant entre le navigateur d'un visiteur et le serveur du site; il apparaît sous forme de cadenas dans la barre d'adresse.

Ce chiffrement empêche un tiers positionné au milieu de lire les données pendant le remplissage d'un formulaire ou un paiement. C'est important, mais cela ne signifie pas que le site lui-même est sécurisé.

Si un vieux plugin non corrigé tourne discrètement en arrière-plan, le certificat SSL ne referme en rien la faille qu'il laisse ouverte; le chiffrement protège le trajet des données, pas la destination elle-même.

Mettre à jour un site web signifie installer à intervalles réguliers les nouvelles versions de tout ce qui le fait fonctionner, le cœur du CMS, les plugins, le logiciel serveur, car ces versions comblent en général des failles de sécurité connues.

Dès qu'une vulnérabilité est rendue publique, des scans automatisés ciblant exactement cette faille commencent; un site lent à se mettre à jour peut se faire repérer et attaquer par simple scan de sa version logicielle, sans qu'aucun humain ne l'ait jamais choisi comme cible.

Si le système de réservation d'une chaîne de spas tourne sur un vieux plugin resté sans correctif pendant des mois, le problème vient très probablement de ce plugin, pas du cadenas.

Quand la responsabilité des mises à jour n'est pas clairement assignée, un vide s'installe où chacun suppose que quelqu'un d'autre s'en occupe; ce vide peut passer inaperçu pendant des mois. C'est pourquoi savoir qui est responsable des mises à jour doit être clairement rattaché à une personne ou une agence.

Une sauvegarde signifie copier les fichiers et la base de données d'un site à intervalles réguliers vers un emplacement séparé, ce qui permet de restaurer le site après une attaque, une panne serveur ou un contenu supprimé par erreur.

Aussi bonnes soient les mises à jour et les mesures de sécurité, aucun système ne garantit un risque nul. Sans sauvegarde, il n'y a aucun point de retour si quelque chose tourne mal.

Les dix ans d'archives du blog d'un fabricant peuvent disparaître de façon irrécupérable en quelques heures lors d'une panne serveur sans sauvegarde en place; ce scénario n'a rien à voir avec une faille de sécurité, c'est une panne purement technique.

Les en-têtes de sécurité sont des réglages techniques qu'un serveur web envoie au navigateur, des règles du type « seul ce type de contenu peut s'exécuter sur cette page » ou « les données ne peuvent se charger qu'à partir de ces sources ».

Ces réglages peuvent empêcher un morceau de code malveillant qu'un tiers tente d'injecter dans le site de jamais s'exécuter; le guide publié par l'OWASP sur les en-têtes de sécurité décrit techniquement le scénario que bloque chacun d'eux.

Ces réglages fonctionnent en général de façon invisible, sans que l'utilisateur ne remarque de différence; mais lorsqu'ils manquent ou sont mal configurés, la surface d'attaque du site s'élargit.

Leur mise en place représente en général quelques heures de travail technique; la vraie difficulté ne se trouve pas dans l'installation elle-même mais dans le fait de déterminer quels réglages conviennent réellement à ce site précis.

Connaître le détail technique n'est pas nécessaire, mais quatre questions valent la peine d'être posées: à quelle fréquence les plugins et logiciels sont-ils mis à jour, existe-t-il une sauvegarde régulière et testée, les en-têtes de sécurité sont-ils en place, le certificat SSL se renouvelle-t-il automatiquement.

Si les réponses à ces quatre questions ne sont pas claires, l'étape suivante n'est pas un projet technique compliqué; c'est simplement poser les bonnes questions au développeur ou à l'agence. Les réponses arrivent en général en quelques jours.

• À quelle fréquence logiciels et plugins sont mis à jour
• Si des sauvegardes sont prises régulièrement et si une restauration a vraiment été testée
• Si les en-têtes de sécurité sont en place
• Si le certificat SSL se renouvelle automatiquement, et à quelle date il expire

La plupart des attaques ne commencent pas comme au cinéma, avec une personne assise devant un écran choisissant une entreprise précise. Un outil de scan automatisé vérifie des millions de sites sur internet face à une version logicielle précise; si cette version présente une faille connue, le site s'ajoute automatiquement à une liste.

Une fois cette liste constituée, un autre outil automatisé tente d'exploiter la faille contre chaque site qui y figure. En cas de succès, du code malveillant s'installe sur le site; ce code peut rediriger les visiteurs ailleurs, envoyer des e-mails indésirables ou voler des données.

Dans ce scénario, la taille ou la notoriété d'une entreprise ne change strictement rien; ce qui est scanné, c'est le numéro de version du logiciel, pas l'entreprise. Des mises à jour régulières sont exactement ce qui garde un site hors de cette première liste.

Ce cycle se déroule souvent assez discrètement pour qu'une entreprise mette des semaines à le remarquer; le site peut paraître parfaitement normal en surface tout en hébergeant du code malveillant en arrière-plan. Un scan de sécurité régulier repère ce genre de problème silencieux à un stade précoce.

L'objectif de partager cette information n'est pas d'inquiéter; c'est plutôt l'inverse, montrer que la sécurité n'est pas une spécialité mystérieuse mais quelque chose qui se gère largement avec quelques habitudes régulières.