Un site à jour, c’est bien. Un site protégé pendant qu’il ne l’est pas, c’est mieux

L’intervalle qu’on oublie

Le raisonnement habituel — « je mets à jour, donc je suis protégé » — a un trou. Quand une faille est publiée dans WordPress, dans une extension ou dans Prestashop, elle est exploitée dans les heures qui suivent. Vous, vous mettrez à jour la semaine prochaine, ou le mois prochain.

C’est cet intervalle qui compte. Sur notre plateforme, une faille découverte est corrigée virtuellement : le pare-feu applicatif refuse la requête qui tenterait de l’exploiter, sans rien changer à votre site, et il continue de le faire jusqu’à ce que vous appliquiez le correctif. La mise à jour reste nécessaire — elle n’est simplement plus une course.

Trois lignes, pas une

La sécurité d’un site ne tient pas à un produit. Elle tient à des couches qui n’échouent pas ensemble.

Devant : sondes d’intrusion et pare-feu, matériels et applicatifs. Les règles du pare-feu applicatif sont mises à jour très régulièrement, et ce sont des règles professionnelles — pas une extension installée sur votre site, qui tomberait en même temps que lui.

Dans le site : la détection des fichiers compromis. Imunify repère les failles connues et les fichiers modifiés à votre insu dans les sites hébergés ; StopTheHacker contrôle par ailleurs que le site n’a pas été corrompu. Un site piraté est souvent parfaitement fonctionnel en apparence — c’est ce qui le rend long à découvrir.

Autour : le certificat SSL, inclus et automatique, qui empêche qu’on lise ou modifie ce qui circule entre le visiteur et le site. Et les comptes, protégés contre les attaques par force brute.

Deux extensions que nous avons écrites

Aux outils du marché s’ajoutent deux extensions PHP développées en interne, déployées sur notre plateforme et disponibles nulle part ailleurs. Elles traitent deux angles que les produits existants couvrent mal en mutualisé.

weobia_reguard attribue un score à chaque script pour repérer les fichiers malveillants. C’est la même famille de protection que la détection de fichiers compromis, prise par l’autre bout : au lieu de comparer un fichier à ce qu’il devrait être, on regarde ce qu’il fait.

weobia_mailhook trace les e-mails envoyés, site par site et script par script. Cela paraît étranger à la sécurité ; c’en est pourtant l’un des meilleurs signaux. Le premier symptôme visible d’un site compromis est généralement le spam qui en part — à l’insu de son propriétaire, qui ne découvre le problème qu’au moment où son domaine est mis en liste noire. Avec cette trace, nous savons quel site et quel fichier, au lieu de suspendre le compte entier le temps de comprendre.

Ce qui ne se sécurise pas

Un site sous une version abandonnée par son éditeur ne se protège pas durablement : aucun correctif n’arrivera plus. Les couches ci-dessus tiennent l’attaque connue, pas celle qui n’a pas encore de règle. Dans ce cas, la seule réponse sérieuse est de sortir de cette version — et une refonte est généralement le bon moment pour le faire.