J'ai testé des scanners de vulnérabilités gratuits sur mon site — plein de failles détectées, que dois-je vraiment corriger ?

Les scanners gratuits se contentent d'analyser les réponses HTTP depuis l'extérieur. Par exemple, si le serveur renvoie la version de PHP, l'outil va direct classer ça en « risque moyen ». Ce n'est pas une vulnérabilité exploitable, juste une fuite d'info mineure. S'il n'y a pas de faille avérée sur cette version précise, inutile de dépenser un centime là-dedans.

L'année dernière, en paniquant pour la même chose, on a lâché 1 600 AED à un prestataire pour un rapport de 35 alertes. Au final, 28 d'entre elles se sont résolues en ajoutant trois lignes d'en-têtes dans la config serveur. La seule vraie faille venait d'un plugin, qu'on aurait pu corriger gratuitement nous-mêmes en faisant simplement la mise à jour.

Ouvrez le rapport et tapez ces termes dans la barre de recherche : 'Injection', 'XSS', 'Bypass', 'Arbitrary File'. Repérez les lignes contenant ces mots il ne vous restera probablement que 3 ou 4 points au total. Demandez simplement à votre expert de vérifier et corriger ces éléments-là. Pour le reste, vous pouvez l'ignorer pour le moment.

Le but de ces sites de scan gratuits c'est généralement de faire peur à l'utilisateur pour lui vendre leurs analyses poussées payantes ou leurs forfaits de consulting. Si vous regardez en bas de page il y a souvent des offres du genre 'réglez ceci en un clic avec un pro' à côté du rapport. Ne prenez pas tout ce qui est affiché en rouge pour argent comptant.

Votre site tourne sur un CMS prêt à l'emploi type WordPress ou c'est un système développé sur mesure de A à Z ? Et pour les paiements, vous stockez les données de carte bancaire sur votre propre serveur ou vous redirigez vers la page de paiement sécurisée du prestataire ? L'analyse des risques change du tout au tout selon le cas.

Pas de panique, si votre site n'est pas activement sous le coup d'une attaque en ce moment, ne réagissez pas dans l'urgence. Les outils automatisés retirent des points pour chaque en-tête manquant. Dans le monde du web, un site sans aucun avertissement, ça n'existe quasiment pas. Votre priorité absolue doit toujours être la base de données clients, le mécanisme de chiffrement des accès admin et les champs de formulaires.

Il y a généralement des codes 'CVE' ou 'CWE' à côté des points du rapport. Pour ceux que vous ne comprenez pas faites directement une recherche sur le net avec ce code. En lisant quelques posts de forums en turc ou en anglais pour comprendre ce que la faille permet concrètement d'exploiter, vous serez bien plus calé au moment d'en discuter avec votre développeur.

Je vais essayer.

Exact. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Si j'ai bien compris, vous dites que : Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée. À votre place, j'irais par cette voie.

Je vais résumer ce qui a été dit jusqu'ici. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

nous avons aussi bloqué au même endroit à une époque. le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

tous ceux qui se pressent sur scannner de vulnérabilités gratuit se heurtent au même obstacle. franchement voilà, désolé si je me suis étendu.

Je suis d'accord. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Voilà, désolé si je me suis étendu.

Si j'ai bien compris, vous dites que : Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Oui, la situation est exactement ainsi concernant scanner de vulnérabilités gratuit. Si vous grondez les fausses alertes, plus personne ne signalera rien.

La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

J'ai travaillé longtemps sur ce sujet. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

J'espère que cela vous sera utile.

Je ne savais pas ça. Quand on décide sans mesurer, on revient toujours au même point.

Les décisions hâtives finissent par être corrigées six mois plus tard. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je n'ai aucune expérience en scanner de vulnérabilités gratuit, c'est pourquoi je pose la question. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

À votre place, j'irais par cette voie.