Sécurité

Tu vas me donner
les clés de ta maison.

Réparer un site, souvent, ça veut dire y avoir accès. Alors avant de te vendre quoi que ce soit, la vraie question, c'est : qu'est-ce que je fais de ces clés une fois que tu me les as remises ? Voici la réponse, en clair, et sans un mot de plus que ce qui est vrai.

§ 01Le service

Boucher les trous,
et sortir l'intrus.

Quand un site est piraté, il ne suffit pas de nettoyer ce qu'on voit. Il faut trouver la porte par laquelle l'intrus est entré, la refermer, et vérifier qu'il n'en a pas laissé une autre en partant. C'est un travail de traque, pas de ménage.

Le site déjà compromis
Défaçage, injection de code, porte dérobée, redirection cachée, pages de pourriel. Je nettoie et je referme, pas juste je masque.
Les trous avant qu'ils servent
Modules vulnérables, accès admin oubliés, absence de deuxième facteur, mots de passe partagés par courriel. L'audit qui évite la prochaine crise.
§ 02Ce que je fais de tes accès

Pas du jargon.
Des gestes que tu peux vérifier.

Voici, concrètement, comment je travaille avec ce que tu me confies. Chaque phrase ici est une chose que je fais réellement, et que tu peux me demander de te démontrer. Tu ne trouveras aucun de ces grands mots de sécurité que les brochures adorent et que personne ne peut vérifier : ce sont des slogans, et une PME n'achète pas des slogans.

J'héberge ton site au Québec, à Beauharnois, sur mon propre serveur. Il reste à ton nom, tu gardes tes accès, et tu pars avec tout, quand tu veux, sans pénalité. Hébergé chez moi ne veut pas dire captif de moi.
Je travaille avec un compte nominatif chez toi, jamais avec ton compte administrateur. Tu vois exactement ce que j'ai fait, et tu peux me couper l'accès en un clic sans changer ton mot de passe.
Aucun identifiant par courriel ou par texto. Lien chiffré, à usage limité, qui expire. Si tu m'envoies un mot de passe par courriel, je te le fais changer.
Fin de mandat, révocation. Je te remets la liste complète des accès à couper, et je confirme la destruction de mes copies.
Mes clés d'accès à tes serveurs vivent sur une clé matérielle. Elles ne peuvent pas être copiées, même si mon poste est compromis : il me faut toucher physiquement pour signer.
Chaque client a son coffre chiffré séparé. Rien ne se mélange.
Mes clés d'API ne sont jamais en clair sur mon disque. Elles sont injectées à l'exécution depuis un coffre chiffré.

Cette liste va s'allonger, et c'est voulu qu'elle ne contienne aujourd'hui que ce qui est déjà vrai. Je préfère te promettre trois choses que je tiens plutôt que dix que je bricole. À mesure que je durcis mon propre poste, j'ajoute ici ce que je peux prouver, pas ce que j'espère.

§ 03Ce que je peux dire parce que je l'ai vécu

J'ai audité ma propre machine
avant d'auditer la tienne.

Il y a une raison pour laquelle je prends la sécurité de tes accès au sérieux : la clientèle que je sers, ce sont souvent des gens dont le système est déjà compromis. On m'appelle après le pirate. Et il a été démontré cette année qu'un simple projet piégé, sans aucun virus, juste des instructions cachées dans un fichier, pouvait suffire à faire fuir les mots de passe d'un développeur par son propre outil de travail, en quelques minutes.

Ces projets piégés, c'est exactement ce que j'ouvre quand je répare un site infecté. Alors je ne pouvais pas me permettre d'avoir moi-même une passoire. Je me suis audité en premier. J'ai trouvé des choses que je n'aimais pas, et je suis en train de les corriger, une par une, avant de les inscrire dans la liste ci-dessus. Le jour où c'est fait et prouvé, c'est écrit. Pas avant.

C'est ça, la différence entre une posture et une brochure : la posture, on peut te la montrer.

§ 04Ce que je ne prétendrai jamais

Ce que je refuse de te dire
vaut autant que le reste.

J'utilise l'intelligence artificielle pour travailler sur ton code, et je ne vais pas prétendre le contraire. Ce n'est pas elle qui décide : je lis tout ce qu'elle propose avant que ça touche ton système, et c'est moi qui réponds de ce qui est livré. Le jour où quelqu'un te jure qu'aucune IA n'a vu ton code, demande-lui de te le prouver.

Je ne suis pas certifié SOC 2, et je ne prétendrai jamais l'être.

Je ne garantis aucun résultat sur un travail que je n'ai pas fait moi-même. Quiconque te garantit ça vend autre chose.

Je ne touche aucune commission, d'aucun hébergeur, d'aucun fournisseur. Aucun partenaire, aucun retour d'ascenseur.

Une entreprise qui te promet la conformité complète, la certification que personne ne vérifie, ou le zéro risque, te vend de la tranquillité en toc. Moi, je te donne une lecture honnête de là où tu en es, et le travail concret pour t'améliorer. Le reste, c'est de la décoration.