Sécurité
L’essentiel du travail se passe sous la ligne de flottaison.
Les visiteurs ne voient que vos pages. En dessous, chaque site Rogueberg repose sur cinq couches de protection que nous mettons en place, testons et surveillons tant que nous l’hébergeons.
-
- TLS 1.3 et HSTS
- pare-feu applicatif web
- filtrage DDoS
- limitation des tentatives sur connexions et formulaires
- gestion des bots
-
- Validation des entrées
- protection CSRF
- Content Security Policy
- connexion à deux facteurs pour les administrateurs
- analyse des dépendances contre les CVE connues
-
- Installation Linux minimale
- SSH par clé uniquement, connexion root désactivée
- pare-feu qui refuse tout par défaut
- mises à jour de sécurité automatiques
- blocage des attaques par force brute
-
- Chiffrement en transit et au repos
- bases distinctes pour les données sensibles
- accès au moindre privilège
- sauvegardes chiffrées chaque nuit hors site
- tests de restauration
-
- Vérification de disponibilité chaque minute
- alertes d’intrusion et de logiciels malveillants
- revue des journaux
- alertes d’expiration des certificats
- rapport de sécurité mensuel
Liste de contrôle avant lancement
Rien n’est mis en ligne tant que chaque case n’est pas cochée.
Nous appliquons la même liste à chaque projet, du site de six pages d’une startup au portail d’une université. Vous recevez un exemplaire signé à la livraison.
- Tout le trafic forcé en HTTPS avec HSTS
- En-têtes de sécurité et CSP en place
- Espaces d’administration derrière une connexion à deux facteurs
- Aucun mot de passe par défaut ni clé partagée
- Formulaires et connexions vérifiés selon l’OWASP Top 10
- Dépendances analysées contre les CVE connues
- Une sauvegarde restaurée sur un serveur de test
- Alertes testées de bout en bout
En cas de problème
Vous l’apprenez d’abord par nous, avec un plan.
- 1 · Détecter
Des alertes automatiques préviennent un ingénieur dès qu’un contrôle échoue ou que les journaux montrent quelque chose d’inhabituel.
- 2 · Contenir
Nous isolons la partie touchée, bloquons la source et protégeons vos données avant toute autre chose.
- 3 · Rétablir
Nous corrigeons la cause et, si besoin, remettons le site en ligne à partir d’une sauvegarde saine et testée.
- 4 · Rendre compte
Vous recevez un rapport écrit : ce qui s’est passé, ce que nous avons changé et ce que vous devez déclarer aux autorités.
Conçu en tenant compte des règles auxquelles votre organisation est soumise.
Nous concevons des systèmes qui facilitent la conformité. La certification officielle et le conseil juridique restent du ressort de vos auditeurs et de vos avocats.
Loi DPDP de 2023
Avis de consentement, consentement parental pour les mineurs, et des données que vous pouvez retrouver, exporter et supprimer sur demande.
Directives du CERT-In
Journaux conservés et détails de l’incident prêts, pour déclarer les incidents dans le délai imposé de 6 heures.
RGPD
Un consentement aux cookies qui fonctionne, un hébergement dans l’UE si nécessaire et des pages de confidentialité fidèles à ce que fait réellement le site.
OWASP Top 10
Chaque formulaire, connexion et API vérifié face aux risques les plus courants des applications web.
Votre site actuel vous inquiète ?
Nous l’examinons et vous disons franchement ce qu’il faut corriger, que vous fassiez appel à nous ou non.