J'ai scanné mon site avec un outil de sécurité en ligne : failles critiques détectées, faut-il s'inquiéter ?

La plupart des scanners lisent simplement le numéro de version d'Apache ou de Nginx dans l'en-tête et listent toutes les failles connues de cette version. Pourtant, le correctif de sécurité peut très bien avoir été appliqué en tâche de fond. Masquez l'affichage des versions sur le serveur et la majorité des alertes disparaîtront.

Ces outils gratuits servent avant tout de tunnel de vente. On vous affiche des logos rouges et des scores alarmants avec un gros bouton « Corriger les failles en un clic » juste en dessous. C'est du marketing par la peur pour vendre du service, pas un véritable audit d'intrusion.

Je gère des boutiques en ligne depuis des années : la plupart des clients qui viennent me voir en panique avec ces rapports n'ont aucun risque sérieux. Les outils automatiques donnent des pistes mais pas de plan d'action fiable. Augmentez la fréquence des sauvegardes et mettez une double authentification sur votre panneau d'administration.

Ne dépensez rien pour l'instant. Changez l'URL par défaut de votre panneau d'administration et assurez-vous qu'un pare-feu applicatif (WAF) est actif côté serveur. Ces deux mesures simples bloquent déjà l'immense majorité des scans automatiques externes.

Sur notre propre site, un outil similaire avait sorti cinq failles critiques. Quand j'ai fait examiner ça par notre dev, quatre se sont révélées infondées, une seule venait d'un vieux plugin de formulaire de contact. On a mis une demi-heure à le retirer et à installer une alternative, et ça ne nous a pas coûté un seul rouble.

les outils automatiques lisent souvent les titres comme des robots et passent à autre chose. ils ne testent pas les formulaires un par un pour voir si on peut voler des données. avant de paniquer et de lâcher du fric essayez plutôt un autre scanner gratuit et open source je pense.

Comment se passe l'étape de paiement sur votre site ? Vous récupérez les infos de carte directement dans un formulaire sur votre site, ou vous redirigez le client vers une page bancaire externe ? Si vous utilisez un paiement externe, y'a déjà pas de risque de fuite de carte, c'est juste la liste des adresses clients qui est en jeu.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Pour résumer : ne regardez pas les avertissements rouges des rapports et ne dépensez pas tout de suite 45 000 roubles. La plupart des failles se résument à des infos de version et des en-têtes de sécurité manquants. Mettez à jour vos logiciels, activez la double authentification et, si besoin, demandez l'avis d'un expert uniquement pour des plugins spécifiques.

Vous avez raison. Tous ceux qui se pressent sur audit securite site web se heurtent au même obstacle.

À votre place, j'irais par cette voie.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée. du coup c'est confirmé par l'expérience.

merci de partager le résultat.

Exact. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production. Bien sûr, cela change si votre situation est différente.

C'est noté, merci.

Nous avons aussi bloqué au même endroit à une époque. Si vous grondez les fausses alertes plus personne ne signalera rien.

Bien sûr, cela change si votre situation est différente.

J'ai vécu la même chose. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

J'aimerais poser une question. bref quand on essaie de tout changer en même temps, rien ne prend.

Séparons les concepts, ils sont souvent confondus. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Quand on essaie de tout changer en même temps, rien ne prend. J'espère que cela vous sera utile.