Un audit de sécurité utile ne cherche pas des vulnérabilités théoriques, il cherche ce qui est réellement exposé et ce que quelqu'un pourrait en faire. La différence entre les deux est ce qui sépare un rapport de trente pages d'un rapport qu'on lit.
Ce que nous trouvons le plus souvent, et ce n'est pas une faille exotique
Les défauts qui exposent réellement une entreprise sont presque toujours ennuyeux, et c'est précisément pour cela que personne ne les cherche.
Un répertoire accessible publiquement. Nous en avons déjà trouvé, sur des sites en production, contenant des données que personne n'imaginait accessibles. Ces ouvertures durent des années parce que rien ne les signale.
Un fichier de sauvegarde oublié à la racine. Une exportation faite un jour pour dépanner, jamais supprimée, et indexable.
Une page d'administration servie sans protection réelle. Souvent protégée par une obscurité d'adresse, ce qui n'est pas une protection.
Des services tiers appelés sans que personne le sache, qui emportent des données à chaque visite.
Pourquoi un scan qui ne trouve rien ne prouve rien
Un outil automatique cherche les signatures qu'il connaît. Un résultat vide signifie qu'il n'a pas trouvé ce qu'il sait chercher, pas que le site est sain.
La règle que nous appliquons à nos propres audits, et qui devrait être universelle : avant de croire un contrôle qui ne rend rien, lui faire trouver un défaut qu'on a mis soi même. Si l'outil ne voit pas le défaut témoin, ce n'est pas la cible qui est propre, c'est l'instrument qui est aveugle.
Nous avons vérifié cela dans les deux sens sur nos propres travaux, et nous avons été pris en défaut plus d'une fois. Un contrôle qui ne peut pas échouer ne prouve rien.
Le corollaire commercial : un audit qui trouve toujours quelque chose est un argumentaire de vente. Un audit qui peut conclure « nous avons vérifié quatorze points et les quatorze tiennent » est une mesure. Nous annonçons cela avant de commencer, parce que c'est ce qui rend le résultat croyable.
Le chaînage, qui hiérarchise là où la liste isole
Une liste de vingt défauts classés par gravité théorique n'aide personne à décider quoi corriger en premier.
Nous cherchons plutôt les enchaînements : quelle combinaison de deux ou trois défauts produit, pour quelqu'un de mal intentionné, un résultat que la direction jugerait inacceptable. Un défaut mineur qui ouvre l'accès à un second défaut mineur peut compter davantage qu'un défaut classé grave mais isolé.
Le rapport est organisé par enchaînement, pas par catégorie technique. C'est ce qui permet de décider en dix minutes.
Ce que l'audit couvre, et ce qu'il ne couvre pas
Il couvre ce qui est accessible depuis l'extérieur : exposition des répertoires et des fichiers, protection des zones d'administration, transmission des données, services tiers appelés, en tête de sécurité, gestion des sessions, et le comportement du site face à des entrées inattendues.
Il ne couvre pas votre réseau interne, vos postes de travail, ni vos pratiques d'équipe, qui relèvent d'un autre exercice. Et il ne rend pas invulnérable : aucun audit ne le fait, et quiconque l'affirme vend autre chose que de la sécurité.
Coût et forme du rendu
L'audit initial est offert et rendu sous 48 heures. Il liste ce qui est exposé, ce qui peut être corrigé sans rien dépenser, et ce qui exige un travail.
Un audit approfondi, avec enchaînements, vérification manuelle et rapport défendable devant un client ou un assureur : de 3 000 à 9 000 francs selon la taille du périmètre. Les corrections sont chiffrées à part, et une bonne partie d'entre elles ne coûte rien à faire.
Savoir ce qui est exposé ?
Audit initial offert, rendu sous 48 heures, et il peut ne rien trouver
Demander un audit gratuit