Sécurité web : 5 erreurs courantes et comment les éviter

La plupart des sites piratés que l’on nous demande de réparer n’ont pas été visés par une attaque savante. Ils ont été trouvés par des robots qui parcourent le web à la recherche d’une faille connue, et qui l’ont trouvée. Voici les cinq erreurs que nous rencontrons le plus souvent.

Erreur n° 1 : négliger les mises à jour

Une faille publiée est exploitée dans les jours qui suivent, parfois dans les heures. Un site dont le gestionnaire de contenu, les extensions ou la version de PHP ne sont plus à jour est une porte laissée ouverte.

• appliquez les mises à jour de sécurité dès leur sortie ;
• retirez les extensions que vous n’utilisez plus, et méfiez-vous de celles qui ne sont plus maintenues ;
• surveillez la fin de vie de la version de PHP de votre hébergement.

Le nombre d’extensions compte : chacune est un code de plus, écrit par quelqu’un d’autre. C’est l’une des raisons pour lesquelles un site WordPress chargé d’extensions demande une vigilance constante, comme nous l’expliquons dans notre billet sur mesure ou prêt à l’emploi.

Erreur n° 2 : des accès mal protégés

• Des mots de passe longs et uniques, rangés dans un gestionnaire de mots de passe : la recommandation de la CNIL en donne les règles.
• La double authentification partout où elle existe : administration du site, hébergement, registre du nom de domaine, messagerie.
• Un compte par personne, jamais un compte partagé, et les accès des anciens salariés ou prestataires retirés le jour de leur départ.
• Vérifiez si vos adresses figurent dans une fuite de données connue, avec Have I Been Pwned.

Erreur n° 3 : un HTTPS incomplet

Le certificat de sécurité n’est plus une dépense : Let’s Encrypt le fournit gratuitement, et nous l’offrons pour tout site hébergé chez nous. L’erreur aujourd’hui est un HTTPS à moitié fait :

• des pages encore accessibles en HTTP, sans redirection ;
• des images ou des scripts appelés en HTTP sur une page en HTTPS ;
• un certificat qui expire parce que son renouvellement n’est pas automatique.

Un test gratuit avec SSL Labs montre en une minute où en est votre site.

Erreur n° 4 : des formulaires vulnérables

Un formulaire de contact, de recherche ou de connexion est une entrée vers votre site. Mal protégé, il permet d’injecter du code dans la base de données ou dans les pages vues par vos visiteurs. Le Top 10 de l’OWASP recense ces risques.

• côté développement : requêtes paramétrées, contrôle et échappement de tout ce qui est saisi, droits minimaux sur la base de données ;
• côté exploitation : un captcha respectueux de la vie privée, comme hCaptcha que nous utilisons, contre les robots, et la surveillance des envois anormaux.

Erreur n° 5 : aucun plan en cas d’incident

Le jour où le site est piraté ou le serveur détruit, il est trop tard pour se demander où sont les sauvegardes. Il faut savoir d’avance :

• où sont les sauvegardes — hors du serveur du site —, depuis quand, et si leur restauration a été essayée ;
• qui appeler, et qui prévient les clients ;
• comment remettre le site en ligne, même dans une version réduite.

Nous avons vécu ce scénario en mars 2021, lors de l’incendie du centre de données d’OVHcloud à Strasbourg : nos sauvegardes distantes ont permis de tout remettre en service, et nous en avons tiré des leçons.

En cas d’attaque, le site public cybermalveillance.gouv.fr aide à réagir ; les recommandations de l’ANSSI aident à se préparer.

Si votre site est déjà touché

Appelez-nous : nous intervenons sur les sites piratés, puis nous mettons en place la maintenance qui évite que cela recommence.