Repère Sécurité Guides
Guides sécurité web
Des textes écrits pour des dirigeants, pas pour des spécialistes. Chacun répond à une question concrète et reste utile même si vous ne nous confiez jamais rien.
Choisir la bonne prestation
Audit, scan, test d’intrusion, contrôle qualité : quatre mots pour des travaux très différents, souvent employés l’un pour l’autre.
- Audit, scan ou test d’intrusion : lequel vous faut-il ? Ce que chacun cherche, ce que chacun coûte en temps, et comment reconnaître celui dont vous avez besoin. Y compris quand ce n’est pas Repère.
Regarder soi-même
Avant d’appeler qui que ce soit, il y a des choses qu’un propriétaire de site peut constater lui-même.
- Ce que vous pouvez vérifier vous-même sur votre site Une dizaine de contrôles de surface, chacun accompagné de ce qu’il révèle et de ce qu’il ne dit pas.
Après le constat
Recevoir un rapport et savoir quoi en faire sont deux choses différentes.
- Lire un rapport d’audit et décider par quoi commencer L’anatomie d’un constat, comment se lit une échelle de gravité, et comment arbitrer quand tout paraît urgent.
WordPress
La plateforme la plus répandue chez les PME, et celle dont la surface se comporte le plus différemment.
- Sécurité WordPress : extensions, thèmes et comptes, ce qu’un audit examine Ce que la présence de composants tiers change, où se logent les accès oubliés, et ce que le site laisse voir sans le vouloir.
Configurer les protections visibles
Deux mécanismes techniques peuvent être vérifiés sans accès privé : les en-têtes envoyés par le site et la politique DMARC publiée dans le DNS.
- En-têtes de sécurité d’un site web : lesquels comptent et pourquoi Le rôle de CSP, HSTS, X-Content-Type-Options, Referrer-Policy et Permissions-Policy, avec leurs limites.
- DMARC : choisir entre p=none, quarantine et reject Comment SPF, DKIM, l’alignement, les rapports agrégés et le mode de test actuel éclairent une décision propre au domaine.
Contrôler la surface d’attaque au quotidien
Quatre inventaires pratiques relient les accès, les alertes de vulnérabilité, l’authentification du courriel et les informations qu’un site public révèle.
- Comptes d’administration : qui doit en avoir ? Limiter, protéger et revoir les comptes qui peuvent modifier le site.
- Comprendre une alerte de vulnérabilité sans paniquer Distinguer la gravité technique, l’exposition réelle et la décision de correction.
- SPF : recenser toutes ses sources d’envoi Retrouver les expéditeurs légitimes avant de renforcer DMARC.
- Ce que votre site expose sans le vouloir Distinguer les indices techniques des expositions qui demandent une correction.
Comment ces guides sont écrits
Ils sont écrits par Clément Marty, développeur web à Montréal, qui réalise les audits Repère. Il n’y a pas de comité de relecture : il y a une personne, qui signe.
Quand une affirmation technique demande une source, elle est citée : en priorité le Centre canadien pour la cybersécurité, l’OWASP et la documentation de WordPress. Le reste décrit le fonctionnement réel de Repère, et c’est signalé comme tel.
Chaque guide porte une date de dernière révision. Elle ne change que lorsque le contenu change. Les textes qui dépendent de versions logicielles sont revus plus souvent que ceux qui expliquent un concept.
Aucun chiffre n’est publié sans source. Aucun exemple ne reprend le site d’un client.