Oui, l'application web de votre entreprise a besoin de cybersécurité dès le premier jour
Si vous avez une application web au service de votre activité, la réponse est claire : la sécurité des applications web est ce qui empêche votre application de tomber en panne et ce qui protège les données de vos clients contre le vol. Une application web est un logiciel qui fonctionne dans le navigateur, comme une boutique en ligne, un système de prise de rendez-vous ou un portail où les élèves se connectent. Ce logiciel est ouvert sur internet toute la journée, et toute personne connectée peut frapper à sa porte. La cybersécurité est un ensemble de mesures qui empêchent les inconnus d'entrer, repèrent leurs tentatives et remettent l'activité en marche rapidement en cas de problème.
Notre avis est net : n'attendez pas une intrusion pour penser à la protection. Une intrusion signifie qu'une personne non autorisée est entrée dans votre système, puis a lu, modifié ou bloqué ses données. Réparer les dégâts après coup prend des jours ou des semaines d'activité arrêtée, et certains clients ne vous refont jamais confiance. Une protection prévue dès le départ travaille discrètement en arrière plan, et vos clients ne la ressentent que comme un sentiment de sécurité.
Peu importe que votre entreprise soit petite. Un pharmacien qui vend sur son site, une gérante de clinique qui garde les dossiers des patients, un directeur d'école qui publie les résultats en ligne : tous détiennent des données qui ont de la valeur pour les pirates. La différence entre ceux qui subissent des dégâts et ceux qui y échappent tient souvent à quelques gestes simples faits à temps : une connexion sécurisée, des mises à jour à l'heure et une sauvegarde testée. Les parties suivantes expliquent ces gestes avec des mots simples, et si un terme vous paraît obscur, vous trouverez sa définition dans notre glossaire.
Pourquoi les pirates visent-ils aussi les petites entreprises ?
Beaucoup de chefs d'entreprise pensent que les pirates ne cherchent que les banques et les grands groupes. Cette idée les pousse à repousser la protection d'année en année. En réalité, une petite entreprise est une cible facile, car sa protection est souvent plus faible et son dirigeant ne surveille pas ce qui se passe dans son système.
Imaginez une rue avec dix boutiques. Le voleur ne choisit pas la plus riche, il choisit celle qui a laissé sa porte ouverte. C'est la même chose sur internet, à une différence près : ici, le voleur essaie des milliers de portes en très peu de temps.
Les attaques sont automatiques et ne choisissent pas leur victime par son nom
La plupart des attaques ne sont pas menées par une personne assise devant votre site. Elles sont lancées par des programmes automatiques appelés bots, qui passent d'un site à l'autre. Ces programmes cherchent une page de connexion qui accepte des mots de passe faciles, ou un vieux logiciel avec une faille connue.
Quand ils trouvent une porte ouverte, ils entrent sans se soucier de la taille ou du nom de l'entreprise. C'est pourquoi une petite clinique dans un quartier calme subit les mêmes tentatives qu'un grand site. La bonne question n'est pas de savoir si quelqu'un essaiera d'entrer, mais si la porte sera fermée quand il essaiera.
Vos données ont de la valeur pour d'autres
Vous ne voyez peut-être rien de spécial dans votre liste de clients, mais un pirate y voit un trésor. Les noms, numéros de téléphone et adresses des clients se revendent et servent à des messages d'arnaque. Les dossiers des patients, les résultats des élèves et les données des salariés sont des informations sensibles qui peuvent servir à faire chanter leur propriétaire.
Il existe un autre type d'attaque qui ne vole rien : il verrouille vos fichiers et vous demande de payer pour les débloquer. On l'appelle rançongiciel, et il frappe les entreprises qui n'ont pas de sauvegarde saine. Dans ce cas, chaque jour d'arrêt est une perte directe, même si aucun fichier n'a été volé.
Voici les pertes qu'une intrusion laisse derrière elle
Parler d'intrusion reste abstrait tant qu'on n'a pas vu ce qui se passe le lendemain matin. La perte ne se limite pas à un appareil ou à un fichier : elle touche les clients, les salariés et la réputation. Connaître ces pertes en détail vous aide à mesurer la valeur réelle de la protection.
Les exemples suivants ne sont pas exagérés. C'est ce que vit un chef d'entreprise quand son application est piratée sans préparation. Chacun peut être évité ou limité grâce à des mesures connues que nous présentons plus loin.
Les données des clients vous échappent
La première chose qui arrive le plus souvent est une fuite de données, c'est-à-dire qu'elles tombent entre les mains de personnes qui n'ont pas le droit de les voir. Dans une boutique en ligne, les adresses, les numéros et l'historique d'achats des clients peuvent fuiter. Ensuite, vos clients reçoivent de faux messages au nom de votre boutique, qui leur demandent leurs coordonnées bancaires ou un code reçu par téléphone.
Le client ne fait pas la différence entre le pirate et vous, car il voit votre nom sur le message. C'est pourquoi le système de la boutique doit lui-même être bien protégé, comme le système de gestion de boutique Storek, qui réunit les ventes, le stock et les données clients dans un seul endroit protégé.
L'activité s'arrête au pire moment
Une attaque ne choisit pas un jour calme. Votre site peut tomber pendant les fêtes, pendant la semaine des inscriptions scolaires ou un jour chargé en rendez-vous à la clinique. L'une des attaques les plus connues consiste à inonder un site de demandes jusqu'à ce qu'il ne réponde plus, et les vrais clients ne peuvent plus y accéder.
Pendant l'arrêt, aucune commande n'arrive, les clients appellent, mécontents, et le personnel passe son temps à s'excuser au lieu de travailler. Si le problème est une intrusion et pas seulement une surcharge, le système peut rester fermé plusieurs jours, le temps d'enquêter, de nettoyer et de redémarrer en toute sécurité.
La confiance se perd, et des suites juridiques peuvent suivre
Un client dont les données ont été volées sur votre site s'en souvient longtemps. Certains clients partent sans rien dire, d'autres racontent leur expérience sur les réseaux sociaux. Les moteurs de recherche peuvent aussi afficher un avertissement à côté d'un site piraté, et le nouveau visiteur hésite avant d'entrer.
Dans de nombreux pays, des lois obligent les entreprises à protéger les données des personnes, comme le règlement européen sur la protection des données connu sous le nom de GDPR. Une entreprise qui néglige la protection peut devoir expliquer ce qui s'est passé, prévenir les personnes concernées et prouver qu'elle avait pris les mesures nécessaires. Ce sont des papiers, des efforts et du temps qu'on aurait pu éviter.
Où se cachent le plus souvent les failles des applications web ?
Un point faible, ou faille, est une petite erreur dans le système qui permet à quelqu'un de faire ce qu'il n'a pas le droit de faire. Vous ne la voyez pas en utilisant le système chaque jour, car tout semble normal. Mais elle apparaît vite à celui qui la cherche.
D'après notre expérience, les failles reviennent dans quelques endroits bien connus. Si vous les connaissez, vous pouvez interroger votre équipe ou votre prestataire en les nommant.
Une connexion avec un simple mot de passe
La page de connexion est la porte d'entrée de votre application. Si la connexion repose uniquement sur un mot de passe, il suffit d'en voler un pour ouvrir la porte. Les salariés choisissent souvent des mots de passe faciles, ou réutilisent le même sur plusieurs sites, et s'il est volé ailleurs, il ouvre aussi votre système.
La solution connue est la connexion en plusieurs étapes. Après le mot de passe, le système demande un code envoyé sur le téléphone du salarié ou affiché dans une application sur son mobile. Même si le pirate connaît le mot de passe, il ne peut pas entrer sans le téléphone. Nous ajoutons aussi un blocage temporaire du compte après plusieurs essais ratés, pour que les bots ne puissent pas tester des milliers de mots de passe.
Des logiciels et extensions jamais mis à jour
Chaque application web repose sur d'autres logiciels : le système d'exploitation du serveur, le langage de programmation, la base de données et des extensions toutes faites. Le serveur est la machine sur laquelle votre site tourne sur internet. Quand quelqu'un découvre une faille dans ces logiciels, l'éditeur publie une mise à jour qui la corrige, et la description de la faille devient publique, y compris pour les pirates.
C'est là que se trouve le vrai danger. Un site qui n'a pas été mis à jour depuis des mois garde des failles publiées que les pirates savent exploiter. La mise à jour doit donc être une tâche régulière, avec une date et un responsable, et non quelque chose dont on se souvient quand un problème arrive. Un hébergement géré et surveillé, comme l'hébergement Hostrena, vous retire cette charge au niveau du serveur.
Des formulaires et des droits d'accès trop ouverts
Le champ de recherche, le formulaire de contact et la zone d'envoi de fichiers sont tous des endroits où le visiteur peut écrire ce qu'il veut. Si le système ne vérifie pas ce qui est saisi, un pirate peut écrire des commandes au lieu de texte, puis lire ou modifier la base de données. C'est l'une des erreurs les plus connues de la liste OWASP Top 10, une liste reconnue dans le monde entier des faiblesses les plus dangereuses des applications web.
Les droits d'accès trop larges présentent un risque proche. La secrétaire d'une clinique n'a pas besoin de supprimer des dossiers patients, et l'employé qui saisit les produits n'a pas besoin de changer les prix de tout le catalogue. Quand chaque compte a plus de droits que son travail l'exige, le vol de n'importe quel compte devient une catastrophe au lieu d'un problème limité.
Les couches de base que nous intégrons à chaque application
Une bonne protection ne repose jamais sur un seul verrou. Ce sont des couches empilées : si le pirate en franchit une, il en trouve une autre devant lui. Comme une maison avec une porte fermée à clé, une caméra et un coffre-fort à l'intérieur.
Chez Linkysoft, nous intégrons ces couches dans les applications web et systèmes de gestion dès la phase de conception, et non une fois le développement terminé. La raison est simple : ajouter la protection à un système déjà construit est plus difficile et plus long que de la prévoir dès le départ.
Le chiffrement rend les données volées inutilisables
Le chiffrement consiste à transformer les données en codes que seule la personne qui a la bonne clé peut lire. Nous chiffrons les données en transit, c'est-à-dire pendant leur trajet entre l'appareil du client et le serveur, pour que personne ne puisse les lire sur internet. Nous les chiffrons aussi quand elles sont stockées dans la base de données.
L'intérêt se voit le jour où tout va mal. Si quelqu'un accède aux fichiers de la base de données, il trouve des codes sans aucun sens au lieu des noms et numéros des clients. Nous gardons les clés de chiffrement dans des coffres dédiés, loin des données elles-mêmes, pour que les clés et les données ne puissent pas être volées ensemble.
Chaque salarié ne voit que ce dont il a besoin
Nous répartissons les droits selon le poste. Le médecin voit les dossiers de ses patients, le comptable voit les factures et la personne de l'accueil voit les rendez-vous. Cette méthode s'appelle l'accès par rôle, et elle limite toute erreur ou tout vol de compte à une petite partie du système.
C'est particulièrement important pour les systèmes qui contiennent des données sensibles, comme le système Docmz de gestion des cliniques et hôpitaux, ou les systèmes scolaires qui contiennent des données d'enfants. Nous y ajoutons la connexion en plusieurs étapes pour les comptes importants, surtout ceux des responsables qui ont des droits plus larges.
Des sauvegardes testées et une trace de chaque action
Une sauvegarde est une copie de vos données gardée ailleurs, à laquelle vous revenez si l'original est perdu. Mais une sauvegarde jamais testée peut vous lâcher le jour où vous en avez besoin. C'est pourquoi nous chiffrons et protégeons les sauvegardes, et nous testons réellement leur restauration, pour savoir qu'elles fonctionnent avant d'en avoir besoin.
La dernière couche est le journal d'audit, un registre qui note qui a fait quoi et quand. Si une commande disparaît ou si un prix change, le journal vous dit quel compte l'a fait et à quelle heure. Ce journal aide à détecter une intrusion, et il aide aussi à régler les désaccords du quotidien entre salariés.
Comment un test d'intrusion révèle-t-il ce que votre équipe ne voit pas ?
Le développeur qui a construit le système sait comment il doit fonctionner, et il lui est donc difficile d'imaginer toutes les façons de le casser. Le test d'intrusion règle ce problème. C'est une attaque sans danger et convenue à l'avance, menée par un expert qui pense comme un pirate, mais dont le but est de trouver les failles et de vous les remettre avant que d'autres les trouvent.
Nous pensons que toute application qui contient des données clients ou des paiements doit passer ce test avant sa mise en ligne. C'est une partie essentielle des services de cybersécurité que nous proposons, pour les nouveaux systèmes comme pour les systèmes existants.
Que se passe-t-il pendant le test ?
L'expert commence par fixer avec vous le périmètre du test : quelles parties du système, quels jours, et ce qu'il ne faut pas toucher. Ensuite, il essaie ce qu'un vrai pirate essaierait sur les pages web, l'application mobile, le réseau et les interfaces qui relient les systèmes entre eux. Il combine des outils automatiques qui analysent vite et une analyse humaine qui repère les erreurs que les outils ne voient pas.
Le test suit des méthodes reconnues dans le monde entier, comme OWASP et NIST, pour ne dépendre ni de l'humeur ni du hasard. Il est aussi sans danger : il ne supprime pas vos données et n'arrête pas votre activité, car son but est de prouver qu'une faille existe, pas de l'exploiter pour nuire.
Que recevez-vous à la fin, et quand refaire le test ?
À la fin, vous recevez une liste écrite, en langage clair, de chaque faille trouvée. Pour chacune, une explication simple de ce qui pourrait arriver, son niveau de gravité et la façon de la corriger. Après les corrections, nous refaisons le test pour vérifier que chaque faille est vraiment fermée, et pas seulement sur le papier.
Un seul test ne suffit pas pour toujours. Chaque ajout important au système, comme une nouvelle passerelle de paiement ou une nouvelle application mobile, peut ouvrir une porte qui n'existait pas. Nous conseillons donc de refaire le test après chaque changement important, et à intervalles réguliers même si rien n'a changé, car de nouvelles failles sont découvertes dans les logiciels en permanence.
La protection continue après le jour du lancement
Beaucoup de systèmes sont bien construits, puis laissés de côté. Quelques mois plus tard, de nouvelles failles apparaissent dans les logiciels, le personnel change et des fonctions sont ajoutées à la hâte sans vérification. Un système sûr le jour de son lancement ne le reste pas tout seul.
C'est pourquoi nous traitons la protection comme un travail continu, avec ses outils et ses responsables. Les parties suivantes expliquent ce qui doit se faire chaque jour et chaque semaine, et ce qui doit se passer quand un incident survient vraiment.
Une analyse continue et une surveillance jour et nuit
L'analyse continue signifie que des outils examinent régulièrement votre système à la recherche de failles connues, et préviennent l'équipe dès qu'ils en trouvent une. C'est comme faire réviser votre voiture régulièrement au lieu d'attendre la panne sur la route. L'analyse repère les logiciels dépassés et les mauvais réglages avant que quelqu'un d'autre ne les découvre.
La surveillance, elle, est un œil qui reste ouvert jour et nuit. Si quelqu'un tente de se connecter des centaines de fois en quelques minutes, ou si le compte d'un responsable se connecte depuis un pays inhabituel en pleine nuit, une alerte part tout de suite. Découvrir une intrusion en une heure plutôt qu'au bout de plusieurs semaines, c'est la différence entre un petit problème et une catastrophe.
Un bouclier devant l'application
Un pare-feu applicatif web est un bouclier placé entre internet et votre application. Chaque demande qui arrive sur votre site passe d'abord par lui : il laisse passer les demandes normales et bloque les demandes malveillantes. Il bloque par exemple les tentatives de saisir des commandes dans les formulaires et les bots qui testent des mots de passe.
Ce bouclier aide aussi face aux vagues de demandes, en distinguant l'affluence réelle des clients un jour de promotion d'une attaque qui veut mettre votre site hors service. Il ne remplace pas la correction des failles dans l'application, mais il vous donne du temps et empêche la plupart des attaques automatiques d'arriver jusqu'à elle.
Un plan prêt en cas d'incident
Aussi bonne que soit la protection, vous devez savoir quoi faire si quelque chose arrive. Une entreprise sans plan perd les premières heures dans la confusion et les coups de fil. Une entreprise préparée suit des étapes claires que tout le monde connaît :
- Contenir : isoler la partie touchée pour que les dégâts ne s'étendent pas au reste du système.
- Enquêter : comprendre comment le pirate est entré, quand, et ce qu'il a touché.
- Nettoyer : supprimer toute trace qu'il a laissée et restaurer les données depuis une copie saine.
- Fermer la faille : réparer la porte par laquelle il est passé, pour qu'il ne revienne pas par le même chemin.
Vos salariés sont la première ligne de défense
Les attaques les plus réussies ne commencent pas par une faille dans le code, mais par un message. Un salarié reçoit un e-mail qui semble venir de la banque ou de son responsable, et qui lui demande de cliquer sur un lien et de taper son mot de passe. Cette méthode s'appelle l'hameçonnage, et elle contourne les meilleurs systèmes si un seul salarié tombe dans le piège.
La sensibilisation à la sécurité apprend aux salariés à reconnaître un faux message, et à ne jamais transmettre un code de connexion à qui que ce soit, quoi que cette personne prétende. Elle leur apprend aussi à signaler tout de suite un message suspect au lieu d'avoir honte d'une erreur. Quelques heures de formation peuvent arrêter l'attaque la plus dangereuse que votre entreprise puisse subir.
Qu'est-ce qui détermine l'ampleur du travail de protection et son coût ?
Aucune offre unique ne convient à toutes les entreprises, car la charge de travail varie d'un système à l'autre. Un site vitrine de cinq pages demande beaucoup moins de travail qu'une plateforme avec des paiements et des milliers d'utilisateurs. Savoir ce qui augmente ou réduit l'effort vous aide à comprendre tout devis que vous recevez.
La règle générale : plus un système a de portes et plus ce qu'il contient est sensible, plus il faut de travail pour le protéger. Les points suivants sont ceux qu'examine toute équipe sérieuse avant d'estimer la mission.
La taille de l'application et la sensibilité de ses données
Le nombre de pages, les types d'utilisateurs et le nombre de systèmes reliés à l'application élargissent tous le périmètre à tester. Un système avec un portail clients, un portail salariés, une application mobile et une passerelle de paiement demande de tester chacune de ces parties. Un système avec une seule page de connexion pour quelques salariés est bien plus simple.
La sensibilité des données change la donne. Les dossiers des patients, les résultats des élèves et les données de paiement demandent un chiffrement plus poussé, un journal d'audit plus complet et parfois des documents de conformité. Une plateforme d'apprentissage comme le système de gestion de l'apprentissage Acad contient des données d'élèves, et demande donc plus de soin qu'un site qui affiche un menu de restaurant.
Une nouvelle application, ou une application existante construite par une autre équipe ?
Une nouvelle application est plus facile à protéger, car les couches sont prévues dès le départ dans le plan. Une application existante, surtout si l'équipe qui l'a construite n'est plus là, doit d'abord être comprise. Le code peut ne pas être documenté, les logiciels peuvent être dépassés et les droits d'accès peuvent être mélangés.
Dans ce cas, nous commençons par un audit qui montre la situation réelle, puis nous classons les corrections par niveau de risque. Nous fermons d'abord ce qui pourrait provoquer une fuite de données ou un arrêt de l'activité, puis nous passons aux risques plus faibles, par étapes. Ainsi, votre activité continue, et vous ne dépensez pas d'efforts sur des détails avant les points graves.
Les questions à poser à tout prestataire avant de signer
Une bonne offre répond à des questions claires, une offre faible les évite. Avant d'accepter un service de protection, demandez des réponses écrites à ces questions :
- Que couvre exactement l'analyse : le site seul, ou aussi l'application, l'application mobile et les interfaces de connexion ?
- Recevrez-vous un rapport écrit, dans un langage compréhensible, avec la façon de corriger chaque faille ?
- Le nouveau test après correction est-il inclus dans l'accord, ou à part ?
- Qui surveille le système la nuit et les jours fériés, et en combien de temps l'alerte est-elle traitée ?
- Que se passe-t-il dans les premières heures en cas d'incident, et qui appelle qui ?
- Le code et les données restent-ils entièrement à vous si vous mettez fin au contrat ?
Les questions que les chefs d'entreprise posent sur la protection de leurs applications
Nous avons réuni ici les questions que nous entendons souvent de la part des commerçants et des responsables de cliniques et d'écoles. Les réponses sont courtes et directes, pour vous aider à décider sans connaissances techniques.
Si votre question n'est pas ici, vous en trouverez d'autres dans la liste de questions en bas de l'article, et dans le centre d'aide de notre site.
Un bon hébergement suffit-il à protéger mon application ?
Un bon hébergement protège le serveur sur lequel tourne votre application, et c'est une part importante, mais ce n'est pas tout. Si l'application elle-même a une faille, comme un formulaire qui accepte des commandes ou des droits trop ouverts, même le meilleur serveur n'empêchera pas un pirate de l'exploiter. La vraie protection associe un serveur protégé et une application construite de façon sûre. Pensez à une maison dans un quartier sûr : vous devez quand même fermer votre porte à clé.
Comment savoir si mon application a été piratée ?
Certains signes sont évidents, comme des pages dont le contenu a changé, des comptes que personne ne connaît, ou des clients qui se plaignent de messages étranges à votre nom. D'autres sont discrets, comme une lenteur inexpliquée ou des visiteurs redirigés vers d'autres sites. Le problème, c'est que beaucoup d'intrusions restent silencieuses pendant des semaines sans aucun signe. C'est pourquoi la surveillance continue et le journal d'audit sont le seul moyen de le savoir tôt.
Mon activité s'arrête-t-elle pendant un test d'intrusion ?
Non, dans la plupart des cas rien ne s'arrête. L'expert convient avec vous à l'avance des parties à tester et des horaires adaptés, et il évite toute action qui pourrait gêner l'activité ou supprimer des données. Pour les systèmes sensibles, le test peut se faire sur une copie identique du système plutôt que sur celle qu'utilisent vos clients. Vous obtenez ainsi les résultats sans que vos clients ne remarquent rien.
Combien de temps faut-il pour sécuriser une application existante ?
Cela dépend de la taille de l'application et de son état. Le premier audit d'une petite application peut se terminer en quelques jours, alors que les grandes plateformes avec beaucoup de parties demandent des semaines. Après l'audit viennent les corrections, classées par gravité : les failles graves sont en général fermées d'abord, en quelques jours, puis le reste est traité par étapes.
Ai-je besoin d'une équipe de sécurité en interne ?
La plupart des petites et moyennes entreprises n'ont pas besoin d'une équipe complète en interne. Il suffit souvent d'avoir une personne responsable du sujet dans l'entreprise, et un partenaire externe spécialisé qui s'occupe des tests, de la surveillance et de la réaction aux incidents. L'essentiel est que les responsabilités soient écrites et claires, pour qu'aucune des deux parties ne pense que c'est l'autre qui s'en charge. Plus le système est grand et ses données sensibles, plus le suivi doit être étroit.
Commencez par ces trois étapes cette semaine
Pas besoin d'un grand plan pour démarrer. Première étape : dressez la liste de tout ce que votre entreprise possède en ligne, le site, la boutique, le système de réservation, l'application mobile, et de qui peut se connecter à chacun. Deuxième étape : activez la connexion en plusieurs étapes sur chaque compte de responsable et supprimez les comptes des salariés partis. Troisième étape : posez une seule question à la personne qui gère votre système : quand avons-nous vraiment testé la restauration de la sauvegarde pour la dernière fois ?
Vient ensuite l'audit spécialisé. Chez Linkysoft, nous proposons un contrôle de sécurité gratuit et une consultation, au cours desquels nous examinons votre application et vous donnons une image claire des failles les plus graves et de ce qu'il faut corriger en premier, que le système ait été construit par nous ou par une autre équipe. Vous pouvez le demander depuis notre page de contact, et si vous voulez en lire davantage avant de décider, vous trouverez des réponses pratiques dans notre centre d'aide.
