Jusqu'à quel point peut-on se fier aux outils gratuits de vérification de sécurité de site avant de payer un audit ?

La plupart des outils gratuits effectuent une analyse passive. Ils se contentent de lire les en-têtes dans les réponses HTTP (comme Content-Security-Policy ou Strict-Transport-Security). Ils ne peuvent pas sonder les failles dans vos requêtes de base de données ou dans la gestion des sessions d'utilisateurs connectés, tout simplement parce qu'ils n'ont pas d'accès authentifié. Corriger les en-têtes est une bonne chose, mais ça ne rend pas votre site inviolable.

On a eu le même dilemme à l'époque où on tournait autour des 500k dollars de chiffre d'affaires. Sur les outils gratuits, tout était au vert. Pourtant, notre hébergeur a brutalement suspendu notre site parce qu'un fichier PHP envoyait 3.000 spams en arrière-plan. On a dû débourser 1.800 dollars en urgence pour faire nettoyer le site et restaurer la base de données.

Se fier aux notes des scanners gratuits, c'est comme laver la carrosserie d'une voiture pour savoir si le moteur a une fuite d'huile. L'extérieur brille, mais la boîte de vitesses est sur le point de lâcher. Ne dormez pas sur vos deux oreilles juste parce qu'un voyant est au vert sur un tableau de bord.

N'acceptez pas ce devis de 2.500 dollars tout de suite. Commencez par configurer les en-têtes manquants signalés par les outils gratuits, via votre fichier de configuration serveur ou avec une extension de sécurité. Ensuite, supprimez tous les plugins inutiles et mettez à jour votre version de PHP. Une fois ces bases posées, vous pourrez négocier si le besoin d'un audit persiste.

Certains audits vendus 2.500 dollars par des boîtes de sécurité consistent simplement à lancer un logiciel commercial automatique et à vous refourguer le PDF généré. Demandez impérativement à l'entreprise si elle effectue une analyse logique manuelle. S'ils ne font que lancer un outil automatisé, ça ne vaut absolument pas le coup de payer ce prix-là.

d'ailleurs si on passe déjà par une redirection vers un prestataire de paiement externe reconnu, les coordonnées bancaires des clients peuvent-elles quand même être dérobées en cas d'infection du site ? on ne stocke aucun numéro de carte du coup on ne s'inquiétait pas trop pour ça.

Voici la marche à suivre pour analyser les résultats gratuits : 1) Si les vérifications de listes noires sont au vert, votre nom de domaine n'est pas blacklisté pour spam, c'est une première bonne base. 2) Corrigez les en-têtes manquants dans la configuration de votre serveur selon les recommandations de l'outil. 3) Mettez à jour immédiatement les extensions obsolètes ou remplacez-les. 4) Installez côté serveur un outil de contrôle d'intégrité pour surveiller les modifications quotidiennes de fichiers.

ca fait deux ans que je suis dans le e-commerce, les scanners gratuits voient que les erreurs basiques. restreindre l'acces au panel admin par ip et changer l'url du wp-admin ca bloque des dizaines d'attaques qu'aucun scanner gratuit ne detecte, faites deja ca ca suffit largement pour le moment.

Il est rare de trouver un texte qui explique les choses aussi clairement. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

exact.

Résumé rapide pour les nouveaux : Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

À votre place, j'irais par cette voie.

Nous avons aussi bloqué au même endroit à une époque. Avant de décider, regardez quelles données vous avez en main.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Ce sujet est archivé.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

C'est confirmé par l'expérience.

je me pose aussi la question.

Il y a un point qui m'interpelle. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Si la double authentification est activée, un mot de passe volé seul ne suffit pas. Bien sûr, cela change si votre situation est différente.

il y a une erreur fréquente à commettre en faisant cela.. mais la plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

à votre place j'irais par cette voie.

Je suis d'accord, j'aimerais même souligner ce point. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Ne comptez pas sur une seule mesure de sécurité ; allez par couches. Voilà, désolé si je me suis étendu.