Une sécurité vérifiable, pas seulement promise.
La plupart des sites de PME ne sont pas attaqués par quelqu'un qui les a choisis. Ils sont trouvés par un script, à travers une extension que personne n'a mise à jour. Nous fermons ces portes, nous les gardons fermées, et nous prouvons que les sauvegardes fonctionnent.
Ce que nous gardons fermé
Des mises à jour régulières
WordPress, extensions, thèmes, bibliothèques et paquets serveur mis à jour à un rythme régulier, testés avant la mise en ligne, pas le jour où quelque chose casse.
Des sauvegardes que nous restaurons
Des sauvegardes quotidiennes conservées hors du serveur, et une restauration testée devant vous. Une sauvegarde que personne n'a jamais restaurée est un espoir, pas une sauvegarde.
Cloudflare devant le site
Un pare-feu en amont : attaques connues bloquées, robots malveillants filtrés, pages de connexion et formulaires limités en débit, pics de trafic absorbés.
HTTPS et en-têtes
Des certificats qui se renouvellent seuls, le transport strictement sécurisé, une politique de sécurité du contenu, et les en-têtes qui empêchent vos pages d'être encadrées ou analysées.
Des accès vérifiables
Double authentification sur chaque compte administrateur, anciens comptes supprimés, un compte par personne, et le minimum de droits plutôt que tout le monde administrateur.
Surveillance et alertes
Disponibilité, expiration des certificats, modifications de fichiers et connexions suspectes surveillées, avec une alerte qui arrive à une personne, pas à un tableau de bord que personne n'ouvre.
Quand le problème est déjà là
Nettoyage de site infecté
Un site infecté nettoyé, le point d'entrée trouvé et fermé, et les avertissements des moteurs de recherche levés après vérification par Google.
Récupération après piratage
Défigurations, injections de spam, redirections détournées : le site restauré à partir d'une sauvegarde saine, et la faille fermée avant la remise en ligne.
Première intervention
Si quelque chose se passe maintenant, nous prenons les mesures immédiates : mettre le site à l'abri, conserver les journaux, arrêter l'hémorragie.
Escalade
Quand un incident dépasse le site web, il part vers les spécialistes en sécurité avec qui nous travaillons, et nous vous le disons clairement plutôt que de vous faire attendre.
Avec un spécialiste
- Tests d'intrusion, réalisés par un spécialiste en sécurité basé au Canada
- Évaluation des vulnérabilités d'une application avant sa mise en ligne
- Revue de sécurité d'une architecture, d'une API ou d'une configuration cloud
- Réponse à incident quand une intrusion est en cours
- Chaque test commence par votre autorisation écrite, nommant les systèmes et les dates
Pour qui
- Les entreprises sous WordPress dont les extensions n'ont pas été mises à jour depuis des mois
- Les boutiques en ligne qui détiennent des commandes et des adresses clients, où l'indisponibilité coûte des ventes
- Les cabinets et les études qui détiennent des informations clients dont ils sont juridiquement responsables
- Ceux qui viennent d'être piratés, redirigés ou signalés par Google
- Les entreprises dont un client a posé une question de sécurité à laquelle elles n'ont pas su répondre
Vos questions, nos réponses
Pouvez-vous garantir que nous ne serons pas piratés ?
Non, et personne d'honnête ne le peut. Le travail de sécurité réduit le risque et raccourcit la récupération ; il ne supprime pas la possibilité. Ce que nous pouvons promettre : les portes connues sont fermées, les logiciels sont à jour, les sauvegardes se restaurent, et c'est nous qui vous signalons un problème, pas un client.
Testez-vous des systèmes sans autorisation ?
Jamais. Scanner ou tester un système sans l'autorisation écrite de son propriétaire est une infraction pénale au Maroc, en France, au Canada et aux États-Unis, quoi qu'ait dit le client au téléphone. Tout test commence par une autorisation signée nommant les domaines, les adresses et les dates exactes.
Notre site est infecté en ce moment. Que se passe-t-il ?
Dites-le-nous aujourd'hui. Nous mettons le site à l'abri, conservons les journaux, le nettoyons ou restaurons une sauvegarde saine, trouvons et fermons le point d'entrée, puis demandons à Google de le revérifier. Le nettoyage est chiffré après un premier examen, car le travail dépend de la profondeur de l'infection.
Qui réalise le travail spécialisé ?
Les tests d'intrusion, les revues d'architecture et la réponse à incident en direct sont réalisés avec des spécialistes en sécurité avec qui nous travaillons, basés au Canada. Nous restons responsables de la mission, et nous disons dès le départ quelle partie est la nôtre et quelle partie est la leur.
Pouvez-vous nous certifier ISO 27001 ou SOC 2 ?
Non. Ces certifications sont délivrées par des auditeurs accrédités, pas par un studio. Nous pouvons préparer le volet technique et travailler aux côtés de votre auditeur, mais quiconque vous propose le certificat lui-même ne vous dit pas la vérité.
Est-ce la même chose que l'audit de site ?
L'audit est un rapport ponctuel sur la performance, le SEO, l'accessibilité et la sécurité. Ici, il s'agit du travail continu qui garde un site sûr mois après mois, et de l'aide quand le problème est déjà arrivé.
Vous ne savez pas ce qui est exposé ?
Envoyez-nous l'adresse de votre site. Nous regardons ce qui est public, nous vous disons franchement ce que nous avons trouvé, et ce qu'il faudrait pour le fermer.