Contre quoi un site sécurisé vous protège vraiment

Les dirigeants de petites entreprises entendent souvent la sécurité web comme une affaire de banques. Personne ne veut ce que je possède, se dit-on, donc personne ne viendra chercher.

C'est une hypothèse raisonnable sur les gens et fausse sur les logiciels. Presque rien de ce qui arrive à un petit site n'implique une personne qui l'a choisi. Cela implique un programme qui parcourt toutes les adresses qu'il peut atteindre, teste chacune contre une liste de failles connues, et s'arrête partout où quelque chose répond. Vous n'êtes pas sélectionné. Vous êtes énuméré.

Ce qui change le sens du mot sécurité. Il ne s'agit pas d'être assez intéressant pour être attaqué. Il s'agit de ne pas figurer dans la liste des choses qui répondent.

La liste est publique, et c'est tout le problème

Quand une faille est trouvée dans un logiciel largement utilisé, elle est publiée. C'est la bonne façon de faire : la publication est ce qui permet à tout le monde d'apprendre à la corriger. Un correctif sort, et ceux qui l'appliquent vont bien.

Cette publication indique aussi à tous les autres exactement quoi chercher et comment. En peu de temps elle est intégrée aux scanners automatisés, et tout site tournant encore sur la version non corrigée devient trouvable par quiconque prend la peine de regarder.

La fenêtre qui compte est donc celle qui sépare l'existence du correctif de son application chez vous. Un site que personne n'a mis à jour depuis deux ans ne court pas des risques inconnus. Il court des risques publiés, documentés et outillés. C'est pourquoi « on l'a fait construire et tout va bien depuis » n'est pas la garantie que cela semble être. Rien n'a changé dans le site, mais la connaissance qu'a le monde de ses faiblesses, elle, a continué de croître.

Ce que fait HTTPS, et ce qu'il ne fait pas

Le cadenas est le seul élément de sécurité que la plupart des gens savent nommer, et il est régulièrement lu à tort comme une déclaration générale de sûreté.

HTTPS chiffre la connexion entre le navigateur du visiteur et votre serveur. Cela signifie que la personne qui partage le réseau du café ne peut pas lire ce que votre client a saisi dans votre formulaire, ni modifier discrètement votre page au passage. C'est important, et c'est pourquoi les navigateurs signalent désormais comme non sécurisés les sites qui en sont dépourvus, ce qui vous coûte de la confiance avant que quiconque ait lu un mot.

Ce qu'il ne fait pas, c'est dire quoi que ce soit sur votre site. Un site avec un cadenas peut faire tourner des logiciels criblés de failles, stocker des mots de passe en clair et laisser fuir sa base de données. HTTPS protège le trajet, pas la destination. Prenez-le, c'est gratuit et automatique chez tout hébergeur correct, et ne le considérez pas comme le travail terminé.

Les sauvegardes sont le seul vrai recours

Tout le reste de cette page réduit la probabilité du mauvais jour. Les sauvegardes sont ce dont vous disposez le jour venu.

Deux choses séparent une sauvegarde de son apparence. Elle doit se trouver là où le problème ne peut pas l'atteindre, car une copie sur le même serveur que le site part avec le site. Et quelqu'un doit en avoir restauré une. Une sauvegarde non testée est une supposition, et les gens découvrent que le fichier est silencieusement vide depuis huit mois précisément au moment où ils en ont besoin.

Si vous ne retenez qu'une chose de cette page, retenez celle-là. Demandez à celui qui gère votre site quand il a restauré une sauvegarde pour la dernière fois, pas s'il en fait.

Ce qui arrive vraiment, et ce que cela coûte

Les défaillances qu'il faut anticiper n'ont rien de spectaculaire.

Un site compromis est généralement utilisé plutôt que détruit, parce qu'un site fonctionnel avec un historique propre vaut davantage pour celui qui l'a pris qu'un site cassé. On y ajoute des pages qui vendent des choses que vous ne vendez pas, ou il se met à envoyer du courrier, ou il sert discrètement quelque chose de désagréable à vos propres visiteurs. Vous l'apprenez souvent parce qu'un client vous le dit, ce qui est la pire manière possible de l'apprendre.

Ensuite les effets s'accumulent. Les navigateurs commencent à détourner les gens, et cet avertissement survit à la correction. Votre hébergeur peut suspendre le compte pour protéger le reste du serveur, et le site n'est alors pas seulement compromis, il est hors ligne. Si vous envoyez du courrier depuis le domaine, votre adresse peut se retrouver sur des listes de blocage et votre courrier professionnel ordinaire cesse d'arriver. Démêler cela prend plus de temps que de refermer la faille d'origine.

L'autre catégorie, ce sont les données. Si vous collectez des noms, des adresses, des numéros de téléphone, ou tout ce qu'un client a saisi en s'attendant à de la confidentialité, vous détenez quelque chose qui lui appartient. Le perdre est un problème d'une autre nature que perdre vos propres fichiers, avec des obligations attachées dans la plupart des juridictions et un coût de confiance qu'aucun correctif technique ne règle.

En quoi consiste concrètement « maintenu »

Concrètement, pour un site d'entreprise ordinaire : les logiciels sont mis à jour quand les correctifs sortent, pas quand quelqu'un y pense. Les sauvegardes tournent automatiquement, hors du serveur, et sont restaurées de temps en temps pour prouver qu'elles fonctionnent. Les accès d'administration utilisent des mots de passe que personne ne réemploie ailleurs, et les anciens comptes sont supprimés au départ des personnes. Les formulaires valident ce qu'ils acceptent, car un formulaire qui accepte tout est une porte ouverte. HTTPS est actif et le reste. Et quelqu'un remarque quand le site tombe, plutôt que le dirigeant le lundi matin.

Rien de tout cela n'est spectaculaire. C'est de la maintenance, c'est ennuyeux, et l'ennui est précisément l'objectif.

Qui s'en charge compte plus que ce que cela coûte

C'est la partie qui mérite d'être dite franchement, parce que c'est la raison pour laquelle nous structurons notre propre travail ainsi.

Chaque point de cette liste est continu. Rien ne s'achète une fois pour toutes au lancement. La vraie question à la livraison n'est donc pas de savoir si votre site est sécurisé, mais qui est responsable de le maintenir ainsi, et s'il sait qu'il l'est.

Si vous avez quelqu'un de technique, ou si vous êtes prêt à apprendre une courte routine et à vous y tenir, faites-le vous-même. C'est une réponse légitime et nous construisons délibérément des projets ainsi. Ce qui ne fonctionne pas, c'est la troisième option, où le site est livré, tout le monde suppose que c'est géré, et deux ans passent. C'est l'état dans lequel se trouvent la plupart des petits sites compromis, et c'est une défaillance de responsabilité plutôt que de technique.