« la sécurité se décide à la conception »
Solutions WEBSolutions
Sécurité applicative : auditer, corriger, surveiller
Je passe votre application, vos accès et vos dépendances au crible d’un référentiel nommé, puis je corrige et je surveille.
Le déclencheur
Vous êtes concerné si…
-
Vous ne savez pas quelles bibliothèques votre site installe, ni qui les maintient.
-
Vos sauvegardes n’ont jamais été restaurées pour de vrai, sur un environnement de test.
-
Des identifiants ou des clés se trouvent dans un fichier versionné du dépôt.
Un niveau visé, pas une impression
Un dirigeant qui demande « sommes-nous sécurisés ? » attend un oui. Une réponse honnête donne un niveau et un référentiel. Sur une application web, cela veut dire écrire jusqu’où on monte : l’ASVS distingue des niveaux d’exigence, et le vôtre se choisit d’après ce que vous manipulez — des paniers d’achat, des dossiers de santé ou des devis n’appellent pas le même effort ni le même budget. Le guide d’hygiène de l’ANSSI, lui, sert de langage commun avec les personnes qui décident sans être techniciennes : ses mesures se lisent en une heure. Le niveau visé est écrit au début de la mission ; le rapport dit ensuite si vous y êtes.
Ce qui est ouvert, et par où ça entre
Trois portes reviennent presque toujours. Les comptes : d’anciens accès jamais fermés, des droits d’administration donnés par confort, une authentification sans second facteur là où ça compte. Les secrets : un identifiant de base de données ou une clé d’interface laissée dans un fichier versionné, où elle reste lisible dans tout l’historique du dépôt, même effacée depuis. Les dépendances : des bibliothèques installées il y a deux ans, jamais mises à jour, dont personne n’a la liste — et qui en installent d’autres à leur tour. L’audit ouvre ces trois portes avant les autres, parce que ce sont celles qui coûtent le moins cher à fermer et le plus cher à laisser ouvertes.
Après l’audit, l’état se maintient
Un rapport rangé dans un tiroir ne protège personne. Ce qui protège, c’est ce qui reste en place ensuite : une alerte quand une bibliothèque devient vulnérable, un test de restauration rejoué à date fixe plutôt qu’espéré, un relevé des en-têtes servis qui montre qu’une correction n’a pas été défaite par une mise en production. Vous recevez aussi un plan de reprise écrit, avec deux chiffres que vous seul pouvez fixer : combien de temps vous acceptez d’être arrêtés, et combien de données vous acceptez de perdre. Ces deux chiffres décident du budget de sauvegarde bien mieux qu’un discours sur les risques — encore faut-il savoir où sont ces données.
Ce qui fait varier le prix
Deux réglages font l’essentiel. Le périmètre d’abord : une application et ses accès, ou plusieurs environnements avec leurs intégrations et leur chaîne de publication — ce n’est ni la même collecte ni la même analyse. Le niveau d’exigence visé dans l’ASVS ensuite : plus il monte, plus les vérifications sont nombreuses et plus la preuve demandée est fine. S’ajoute un choix : recevoir le rapport seul, ou faire corriger et contre-vérifier derrière. L’audit est une prestation à lui seul, dont le prix est arrêté sur le périmètre écrit avant de commencer ; la correction se chiffre après, point par point, sur le rapport. Vous décidez alors ce que vous traitez et dans quel ordre.
Périmètre
Ce qui est compris, et ce qui ne l’est pas
Ce que comprend la prestation
- J’inventorie la configuration, le code et chaque bibliothèque installée, et vous recevez la liste de ce qui est vulnérable, obsolète ou inutile.
- Je reprends les comptes et les droits, sors les secrets des fichiers versionnés, vérifie le chiffrement et restaure une sauvegarde pour de vrai.
- Je pose les en-têtes et la politique de sécurité de contenu qui limitent ce que vos pages ont le droit de charger et d’exécuter.
- Je corrige avec vous, contre-vérifie chaque point fermé, puis branche une surveillance qui vous alerte au lieu de vous laisser découvrir l’incident.
Ce que ça ne comprend pas
- Un test d’intrusion mené par une équipe offensive dédiée : c’est un autre métier, et il se commande à part.
- Une certification ISO 27001 : je travaille au regard de référentiels publics, je ne délivre aucun label.
- Un centre de supervision ouvert vingt-quatre heures sur vingt-quatre, tous les jours de l’année.
- L’analyse judiciaire après attaque : elle obéit à des règles de preuve qui ne sont pas celles d’un audit technique.
Déroulé
Comment ça se passe
-
Périmètre et autorisation
J’écris avec vous ce qui est audité, ce qui ne l’est pas et sur quels environnements. Rien n’est testé sans votre autorisation écrite.
Ce qui vous est remis
lettre de périmètre et autorisation signée
-
Collecte
Je récupère la configuration, le code, l’inventaire des dépendances et la liste des accès réellement en vigueur.
Ce qui vous est remis
inventaire des dépendances et des accès
-
Analyse au regard d’un référentiel
J’analyse ce qui a été collecté au regard de l’OWASP Top 10:2025, de l’ASVS 5.0.0 et des 42 mesures du guide d’hygiène de l’ANSSI.
Ce qui vous est remis
rapport hiérarchisé par criticité, correctif par point
-
Correction et contre-vérification
Je corrige ce qui relève du code et de la configuration ; vous tranchez ce qui relève de vos usages. Chaque point fermé est vérifié une seconde fois.
Ce qui vous est remis
rapport de contre-vérification, point par point
-
Surveillance
Je mets en place les alertes, le suivi des dépendances et le test de restauration des sauvegardes, puis je vous montre comment les lire.
Ce qui vous est remis
plan de reprise écrit et procédure de surveillance
Preuves
Ce que vous recevez, et ce qui se mesure
-
Un rapport d’audit hiérarchisé par criticité, où chaque point porte le correctif proposé et son coût de mise en œuvre.
-
L’inventaire de vos dépendances et leur état : version installée, version maintenue, vulnérabilité connue.
-
Un test de restauration daté : la sauvegarde n’est pas déclarée bonne, elle est remontée et vérifiée.
-
Les en-têtes de sécurité effectivement servis par votre site, relevés avant et après correction.
-
Un plan de reprise écrit, avec le temps d’interruption et la perte de données que vous acceptez.
Questions
Questions fréquentes
Sommes-nous concernés par NIS 2 ?
La directive NIS 2 élargit considérablement le périmètre des entités soumises à des obligations de sécurité, et sa transposition française est en cours. L’ANSSI met à disposition un simulateur, MonEspaceNIS2, qui répond en quelques minutes pour votre structure. Si vous êtes concernés, le référentiel cyber français publié le 17 mars 2026 liste les mesures attendues.
Nous n’intéressons personne, si ?
Les campagnes de masse sont automatisées : elles balaient des plages d’adresses et exploitent une faille connue partout où elle traîne, sans choisir leurs victimes. Cybermalveillance.gouv.fr a assisté plus de 500 000 victimes en 2025, dont 6 % d’entreprises, principalement des TPE-PME, en hausse de 73 % (rapport d’activité 2025). Le critère n’est pas votre notoriété, c’est votre surface exposée.
Un certificat, ça ne suffit pas ?
Un certificat TLS chiffre le transport entre le navigateur et le serveur. Il ne dit rien du contrôle d’accès, des droits, des secrets laissés dans un fichier ou d’une bibliothèque compromise. C’est nécessaire et très insuffisant : le contrôle d’accès défaillant occupe la première place de l’OWASP Top 10:2025.
D’où viennent les attaques aujourd’hui ?
De plus en plus de la chaîne d’approvisionnement logicielle : les bibliothèques, les outils de construction et les chaînes d’intégration continue dont dépend votre code. Elle est entrée directement en A03 de l’OWASP Top 10:2025. La campagne Sha1-Hulud 2.0, décrite par le CERT-FR, affectait plus de 700 paquets npm trois jours après son début du 23 novembre 2025. C’est l’argument d’une politique de dépendances minimale, tenue dès la conception du site.
Que faire si nous sommes attaqués maintenant ?
Isolez le service touché, ne payez pas, et ne réinstallez rien avant d’avoir préservé les traces : ce sont elles qui diront par où c’est entré. Si des données personnelles sont concernées, la violation se notifie à la CNIL sous 72 heures. Le dispositif public cybermalveillance.gouv.fr oriente vers un prestataire de réponse à incident. La remise en état vient après, avec la question de savoir où étaient vos données.
Et ensuite
Pour aller plus loin
Deux solutions qui vont avec
Contact
Un projet à cadrer ?
Décrivez-le en quelques lignes : la situation d’aujourd’hui, ce que vous attendez, et pour quand. Réponse sous 48 h ouvrées.