Réparer un site, souvent, ça veut dire y avoir accès. Alors avant de te vendre quoi que ce soit, la vraie question, c'est : qu'est-ce que je fais de ces clés une fois que tu me les as remises ? Voici la réponse, en clair, et sans un mot de plus que ce qui est vrai.
Quand un site est piraté, il ne suffit pas de nettoyer ce qu'on voit. Il faut trouver la porte par laquelle l'intrus est entré, la refermer, et vérifier qu'il n'en a pas laissé une autre en partant. C'est un travail de traque, pas de ménage.
Voici, concrètement, comment je travaille avec ce que tu me confies. Chaque phrase ici est une chose que je fais réellement, et que tu peux me demander de te démontrer. Tu ne trouveras aucun de ces grands mots de sécurité que les brochures adorent et que personne ne peut vérifier : ce sont des slogans, et une PME n'achète pas des slogans.
Cette liste va s'allonger, et c'est voulu qu'elle ne contienne aujourd'hui que ce qui est déjà vrai. Je préfère te promettre trois choses que je tiens plutôt que dix que je bricole. À mesure que je durcis mon propre poste, j'ajoute ici ce que je peux prouver, pas ce que j'espère.
Il y a une raison pour laquelle je prends la sécurité de tes accès au sérieux : la clientèle que je sers, ce sont souvent des gens dont le système est déjà compromis. On m'appelle après le pirate. Et il a été démontré cette année qu'un simple projet piégé, sans aucun virus, juste des instructions cachées dans un fichier, pouvait suffire à faire fuir les mots de passe d'un développeur par son propre outil de travail, en quelques minutes.
Ces projets piégés, c'est exactement ce que j'ouvre quand je répare un site infecté. Alors je ne pouvais pas me permettre d'avoir moi-même une passoire. Je me suis audité en premier. J'ai trouvé des choses que je n'aimais pas, et je suis en train de les corriger, une par une, avant de les inscrire dans la liste ci-dessus. Le jour où c'est fait et prouvé, c'est écrit. Pas avant.
C'est ça, la différence entre une posture et une brochure : la posture, on peut te la montrer.
J'utilise l'intelligence artificielle pour travailler sur ton code, et je ne vais pas prétendre le contraire. Ce n'est pas elle qui décide : je lis tout ce qu'elle propose avant que ça touche ton système, et c'est moi qui réponds de ce qui est livré. Le jour où quelqu'un te jure qu'aucune IA n'a vu ton code, demande-lui de te le prouver.
Je ne suis pas certifié SOC 2, et je ne prétendrai jamais l'être.
Je ne garantis aucun résultat sur un travail que je n'ai pas fait moi-même. Quiconque te garantit ça vend autre chose.
Je ne touche aucune commission, d'aucun hébergeur, d'aucun fournisseur. Aucun partenaire, aucun retour d'ascenseur.
Une entreprise qui te promet la conformité complète, la certification que personne ne vérifie, ou le zéro risque, te vend de la tranquillité en toc. Moi, je te donne une lecture honnête de là où tu en es, et le travail concret pour t'améliorer. Le reste, c'est de la décoration.