Pour beaucoup d'entreprises, les bases de la sécurité d'un site web ne sont mises en place qu'après un incident. Une approche plus efficace consiste à fixer dès la phase de contrôle quotidien les éléments à vérifier, les responsables et les emplacements d'enregistrement. Ainsi, lors de la maintenance future, même en cas de changement de personnel, il sera possible de suivre le même chemin de diagnostic sans avoir à se demander à chaque fois « où est le mot de passe d'administration » ou « qu'a-t-on modifié la dernière fois ».
Distinguer ce qui relève des bases de sécurité de ce qui n'est qu'une mise à jour de contenu
Lors du contrôle quotidien d'un site web, il est facile de confondre deux choses : d'une part, la vérification du contenu (erreurs, liens fonctionnels) ; d'autre part, les risques liés aux comptes, aux accès, aux mises à jour et aux sauvegardes. La première relève du contrôle opérationnel, la seconde des bases de sécurité. En planifiant, il faut d'abord séparer ces deux axes pour que la maintenance future ne néglige pas les aspects sécurité à cause d'une simple modification de contenu.
On peut les répartir selon les objets suivants :
- Comptes et permissions : combien de comptes d'administration existent, quels sont leurs rôles, qui les utilise encore, qui a quitté l'entreprise.
- Accès à l'administration et au serveur : qui détient le nom de domaine, le chemin d'accès à l'administration, les identifiants de connexion au serveur.
- Mises à jour des programmes et extensions : quels composants doivent être mis à jour, qui valide avant la mise à jour.
- Sauvegardes et restauration : où sont stockées les sauvegardes, à quelle fréquence vérifie-t-on qu'elles sont restaurables.
- Surveillance des anomalies : en cas de modification de page ou d'accès anormal, qui est alerté en premier.
Ces éléments n'ont pas besoin d'être vérifiés tous les jours, mais il faut définir une fréquence et un responsable. C'est là toute la valeur de la planification : transformer « on regarde quand on y pense » en « on sait quoi regarder au moment prévu ».
Planification des comptes et permissions : peu mais clairs, plus faciles à maintenir que nombreux et désordonnés
Les comptes sont la partie des bases de sécurité qui laisse le plus souvent des problèmes historiques. Sur les sites d'entreprise, il est courant d'avoir créé plusieurs comptes administrateurs à la construction, puis après des changements de personnel, ces comptes subsistent sans que l'on sache à qui ils correspondent. En maintenance, on n'ose ni les supprimer ni les utiliser.
La planification peut se faire en trois actions :
- Associer à chaque compte d'administration un utilisateur et un usage, par exemple « exploitation – publication de contenu » ou « technique – mise à jour d'extensions ».
- Séparer les permissions par rôle : un éditeur de contenu n'a pas besoin d'accéder au serveur ou à la gestion des extensions.
- En cas de départ ou de changement de poste, désactiver d'abord le compte, puis décider de transférer ou non la propriété du contenu.
Le critère est simple : si un compte ne peut pas être attribué à un utilisateur précis, il doit être placé sur une liste à traiter plutôt que conservé. Prendre quelques minutes à chaque contrôle quotidien pour vérifier la liste des comptes est bien plus efficace qu'une recherche a posteriori.
Accès à l'administration et modes de connexion : donner un chemin fixe aux contrôles
Si l'accès à l'administration change souvent sans être documenté, la maintenance future devient difficile. Lors de la planification, il est utile de centraliser ces informations dans un espace interne consultable, par exemple un document interne ou une liste de passation, en précisant l'adresse d'administration, le mode de connexion et qui est responsable de la procédure de récupération de mot de passe.
Le contrôle quotidien peut se limiter à quelques points : l'administration se connecte-t-elle normalement, y a-t-il des comptes inconnus après connexion, existe-t-il des enregistrements de connexion inhabituels (si l'administration fournit ce type d'information), l'adresse d'administration a-t-elle été modifiée sans raison. Il n'est pas nécessaire d'inventer des règles de sécurité spécifiques ; l'essentiel est que l'action de contrôle ait un point d'entrée fixe, sans dépendre de la mémoire.
Par ailleurs, il faut gérer séparément l'accès à l'administration et les pages publiques. La mise à jour du contenu public relève de l'exploitation, tandis que les ajustements au niveau de l'administration et du serveur relèvent de la technique ou du prestataire. Une répartition claire des responsabilités permet de savoir qui contacter en cas de problème.
Mises à jour, sauvegardes et surveillance : intégrer la fréquence des contrôles dans le planning quotidien
Les mises à jour des programmes, extensions et thèmes, ainsi que la disponibilité des sauvegardes, font partie des éléments à vérifier selon un rythme fixe. Lors de la planification, il ne suffit pas d'écrire « mise à jour régulière » ; il faut préciser qui vérifie, quand, et qui prévenir en cas de problème.
On peut organiser cela comme suit :
- Avant la mise à jour : confirmer la version actuelle et l'état des sauvegardes, noter les composants à mettre à jour.
- Après la mise à jour : ouvrir la page d'accueil, les pages de rubrique et les formulaires pour vérifier que l'affichage et les soumissions fonctionnent normalement.
- Vérification des sauvegardes : ne pas se contenter de vérifier l'existence des fichiers, mais s'assurer qu'ils correspondent à un instant précis et que la procédure de restauration est attribuée à quelqu'un.
- Surveillance des anomalies : en cas de page modifiée, de liens inconnus ou d'accès anormal, préserver les preuves, puis diagnostiquer dans l'ordre : accès, comptes, mises à jour.
Ces actions n'ont pas besoin d'être formalisées dans un règlement complexe, mais doivent être assignées à des personnes et à des moments précis. La facilité de la maintenance future dépend souvent de la continuité de ces enregistrements.
Fixer la planification avec une liste de contrôle
Pour éviter de réfléchir à nouveau à ce qu'il faut vérifier, on peut tenir une liste de contrôle simple des bases de sécurité, organisée par objet, avec la date et le résultat après chaque contrôle. La liste n'a pas besoin d'être longue : pouvoir répondre à « qui a vérifié la dernière fois, qu'a-t-il vérifié, y a-t-il des points en attente » suffit.
Imaginons une entreprise dont le site est géré par une personne chargée de l'exploitation qui s'occupe aussi de l'administration. La liste de contrôle pourrait être organisée ainsi : vérification des comptes et permissions une fois par mois, confirmation de l'accès à l'administration et du mode de connexion une fois par trimestre, contrôle des mises à jour et des sauvegardes selon le rythme réel des mises à jour, et surveillance des anomalies lors des visites quotidiennes du site. Cette organisation ne cherche pas la complexité ; l'essentiel est de fixer les responsabilités et les fréquences pour qu'un remplaçant puisse prendre le relais directement.
Si cette liste de contrôle n'existe pas encore, on peut commencer par organiser la liste des comptes et les informations d'accès à l'administration. Une fois ces deux éléments clarifiés, le contrôle quotidien des bases de sécurité dispose d'un point de départ, et l'on pourra compléter progressivement les enregistrements de mise à jour, de sauvegarde et de surveillance.
