Repère Sécurité Audit de sécurité de site web
Un audit de site web dont vous signez le périmètre
Vous décidez de ce qui est examiné, de ce qui est mis hors de portée et de la période pendant laquelle le mandat vaut. Vous recevez ensuite des constats classés par gravité, relus par une personne, avec la marche à suivre pour chacun.
Votre site, comme objet d’examen
Beaucoup d’audits vendus au Québec portent sur le parc informatique : postes de travail, serveurs, réseau interne, messagerie. C’est un métier utile, et ce n’est pas celui-ci.
Repère examine le site web et ce qu’il expose. C’est un objet distinct, avec ses propres faiblesses : du code que vous n’avez pas écrit, des formulaires ouverts au public, des comptes d’administration, et une configuration de serveur que vos visiteurs peuvent lire sans le savoir.
Si votre besoin porte sur les postes et le réseau de l’entreprise, une firme d’infogérance vous servira mieux. Si le sujet est le site, c’est ici.
- Accès et authentificationComptes actifs, robustesse de l’accès à l’administration, traces d’accès oubliés.
- Composants et versionsCe que le site charge, dans quelles versions, et lesquelles portent des vulnérabilités publiquement connues.
- Transport et configurationChiffrement, en-têtes de sécurité, réglages du serveur visibles depuis l’extérieur.
- Traitement des saisiesComment le site accueille ce qu’on lui envoie : formulaires, recherche, paramètres d’adresse.
- Exposition de fichiersCe qui répond sans y être invité : configuration, sauvegardes, répertoires.
- Dépendances externesLes services tiers que le site appelle, et ce qui part avec.
Le périmètre et l’autorisation, avant les contrôles
Chez Repère, le périmètre et l’autorisation sont formalisés avant tout contrôle qui dépasse l’observation de ce qui est public.
Un document écrit, signé et daté, précède l’examen. Il n’est pas là pour la forme : c’est lui qui dit ce que nous avons le droit de faire, et qui vous garantit que nous ne ferons rien d’autre.
- Ce qui peut être examinéLes adresses concernées, nommées une à une. Rien qui n’y figure pas n’est sollicité.
- Ce qui est excluCe que vous mettez hors de portée, pour la raison que vous voulez. Vos exclusions sont reprises telles quelles.
- Les contrôles autorisésLe mandat nomme ce qui est permis, et interdit explicitement le déni de service, la suppression de données, la modification persistante et l’envoi massif.
- Les limitesCe que l’examen ne couvre pas, écrit avant de commencer plutôt que découvert à la lecture du rapport.
- La période de validitéUne date de début, une date de fin. Passé la seconde, l’autorisation ne vaut plus.
C’est ce document qui rend l’examen possible et qui le borne. Il vous protège autant qu’il nous encadre.
Ce que vous recevez
Un rapport où chaque constat répond à trois questions dans cet ordre : ce que c’est, quelle gravité, quoi faire. Les constats sont classés, et chacun porte une remédiation qu’un développeur peut appliquer telle quelle.
Une personne relit chaque constat avant qu’il vous soit transmis. Rien ne vous parvient automatiquement.
Le rapport vous appartient. Vous pouvez le remettre à votre développeur, à un donneur d’ordre, à un client ou à votre assureur. Ce n’est pas une certification : c’est le compte rendu d’un examen, à une date, sur un périmètre défini.
Comment lire un rapport d’audit et décider par quoi commencer.
Et après ?
Le rapport suffit à votre développeur s’il veut s’en charger : il est écrit pour ça.
Si vous préférez qu’on s’en occupe, Repère peut transformer les constats en corrections dans un second mandat, chiffré à part. On reprend les constats du plus grave au plus léger, et on revérifie après. Vous décidez de ce second mandat une fois le rapport lu, jamais avant.
Ce qui fait varier le prix
Il n’y a pas de tarif de catalogue, et un montant annoncé sans connaître le site serait un montant qu’on ne tiendrait pas. Six éléments déterminent le devis.
- L’étendue du périmètre
Un site vitrine de quelques pages et une plateforme à espaces multiples ne demandent pas le même travail.
- Le nombre de sites
Plusieurs domaines dans un même mandat coûtent moins cher qu’autant de mandats séparés.
- La présence d’un espace client
Dès qu’il y a des comptes, il y a des règles d’accès à vérifier, et c’est un axe d’examen entier.
- Les paiements en ligne
Un parcours d’achat ajoute des échanges avec des tiers, et donc de la surface.
- La profondeur demandée
Un premier regard et un examen approfondi ne mobilisent ni le même temps ni le même mandat.
- Les contraintes de fenêtre
Un site qui ne peut être sollicité qu’en dehors des heures d’ouverture impose son propre calendrier.
Le devis arrive après un premier échange, par écrit, et il ne bouge plus. La correction éventuelle fait l’objet d’un chiffrage distinct.
Ce que cet audit ne couvre pas
- La surveillance continue
Un audit constate l’état à un moment donné. Ce n’est pas une veille, et nous n’en vendons pas.
- Un site déjà compromis
Si votre site est piraté maintenant, c’est une urgence et un autre métier. Dites-le-nous, nous vous orienterons.
- La certification
Repère n’est pas un organisme de certification. Aucun document n’atteste d’une conformité ISO, SOC 2 ou PCI.
- Le code source et le parc
L’examen porte sur le site et ce qu’il expose, pas sur vos dépôts, vos postes de travail ni votre réseau interne.
Commencer
Quatre champs, un échange, puis un périmètre. Rien n’est examiné avant votre signature, et l’adresse que vous donnez dans le formulaire ne déclenche aucune vérification.
Si votre site tourne sous WordPress, l’audit y prend une forme particulière. Et si vous hésitez entre un audit, un scan et un test d’intrusion, ce guide vous aidera à choisir.