Prévention des infections par des logiciels malveillants

Le prix de la liberté contre les logiciels malveillants est une vigilance éternelle. Cet article contient des conseils et des indications pour prévenir les infections par des logiciels malveillants. Cependant, il n’est en aucun cas exhaustif, et Google encourage les propriétaires de sites Web à mener également des recherches plus approfondies.

Surveillance de la santé de votre site

De nombreuses fonctionnalités de la Search Console peuvent vous aider à identifier les problèmes potentiels. Par exemple :

• Essayez une recherche sur Google avec le
  site: opérateur de recherche
  pour voir quelles pages Google a trouvées sur votre site. C’est toujours une bonne idée de le faire périodiquement pour voir si quelqu’un a introduit des pages ou du contenu inattendus sur votre site. Si vous voyez des pages inconnues sur votre site, ou des sujets que vous n’avez pas écrits, vous avez peut-être été piraté. Si vous n’êtes pas encore familier avec le site: opérateur de recherche, c’est un moyen pour vous de restreindre votre recherche à un site spécifique. Par exemple, la recherche
  site:developers.google.com
  renverra des résultats uniquement à partir du site Google Developers.
• Le
  rapport sur les problèmes de sécurité
  montre toutes les pages piratées que Google a identifiées sur votre site, ainsi que des instructions sur la façon de résoudre le problème.
• Si Google détecte des logiciels malveillants sur votre site, vous verrez une notification dans le
  panneau de messages de la Search Console. Pour vous assurer d’être averti rapidement, vous pouvez faire en sorte que vos messages soient
  transférés vers votre compte de messagerie.

Liste de contrôle de sécurité

En plus de surveiller votre site régulièrement, nous recommandons également ce qui suit :

Tous les propriétaires de sites Web

• Choisissez de bons mots de passe.
  Les directives relatives au compte Google
  sont utiles.
• Choisissez très soigneusement les fournisseurs de contenu tiers.
  Assurez-vous que les applications et les publicités tierces sur votre site proviennent de sources fiables et légitimes. Une source fiable et légitime fournit des informations de support et de contact sur son site Web.
• Contactez votre société d’hébergement ou votre plateforme de publication pour obtenir de l’aide.
  La plupart des entreprises disposent de groupes de support utiles et réactifs et/ou de pages de sécurité. Si une page ou un site de sécurité possède un flux RSS, abonnez-vous-y pour vous assurer de rester à jour.
• Gardez tous vos ordinateurs en sécurité. Surtout lorsque vous travaillez sur un site Web, assurez-vous que votre poste de travail local dispose de logiciels à jour, qu’il est exempt de virus, de chevaux de Troie ou de logiciels malveillants similaires et qu’il dispose d’un logiciel antivirus récemment mis à jour.

Propriétaires de sites Web avec accès au serveur

• Vérifiez la configuration de votre serveur.
  Apache a quelques
  conseils de configuration de sécurité
  sur son site et Microsoft a quelques
  ressources du centre technique pour IIS
  sur le sien. Certains de ces conseils incluent des informations sur les autorisations de répertoire, les inclusions côté serveur, l’authentification et le chiffrement.
• Faites une copie de sauvegarde de votre .htaccess fichier
  (ou d’autres mécanismes de contrôle d’accès selon votre plateforme de site Web). Utilisez votre fichier de sauvegarde pour récupérer si ce qui suit échoue. Assurez-vous de supprimer le fichier de sauvegarde une fois que vous avez terminé.
• Restez à jour avec les dernières mises à jour logicielles et correctifs.
  Il existe de nombreux outils qui facilitent la création d’un site Web, mais chacun ajoute un certain risque d’être exploité. Un piège courant pour de nombreux propriétaires de sites Web est d’installer un forum ou un blog sur leur site Web, puis de l’oublier. Tout comme pour l’entretien de votre voiture, il est important de vous assurer que vous disposez de toutes les dernières mises à jour pour tout programme logiciel que vous avez installé. Faites une liste de tous les logiciels et plug-ins utilisés pour votre site Web, et gardez une trace des numéros de version et des mises à jour. Même si vous êtes diligent et que vous gardez tous les composants de votre site Web à jour, vous pouvez toujours être vulnérable si votre hébergeur Web n’a pas installé les derniers correctifs du système d’exploitation. Ce problème ne touche pas seulement les petits sites ; il y a eu des avertissements sur les sites Web de banques, d’équipes sportives, ainsi que de sites Web d’entreprises et gouvernementaux.
• Gardez un œil sur vos fichiers journaux.
  En faire une habitude présente de nombreux avantages, dont l’un est une sécurité accrue. Par exemple, des paramètres d’URL inconnus (comme =http: ou =//) ou des pics de trafic vers des URL de redirection sur votre site peuvent indiquer qu’un pirate exploite des
  redirections ouvertes. Gardez également à l’esprit que les pirates essaient souvent de modifier les fichiers journaux. Prenez des mesures pour protéger ces fichiers contre les attaques. Par exemple, vous pouvez déplacer ces fichiers de leur emplacement par défaut, ce qui rend plus difficile pour les pirates de les trouver.
• Vérifiez votre site pour les vulnérabilités courantes.
  Évitez d’avoir des répertoires avec des autorisations ouvertes. C’est comme laisser la porte d’entrée de votre maison grande ouverte.

  Vérifiez également les vulnérabilités
  XSS
  (cross-site scripting) et
  SQL injection .

• Utilisez des protocoles sécurisés.
  Google recommande d’utiliser SSH et SFTP pour le transfert de données, plutôt que des protocoles en texte clair tels que telnet ou FTP. SSH et SFTP utilisent le chiffrement et sont beaucoup plus sûrs.
• Restez au courant des dernières nouvelles en matière de sécurité.
  Le
  Blog de sécurité Google
  fournit des informations utiles sur la sécurité et la sûreté en ligne, ainsi que des pointeurs vers d’autres ressources. Le site gouvernemental
  US-CERT
  (United States Computer Emergency Readiness Team) fournit des alertes et des conseils de sécurité technique.

Si vous êtes un utilisateur de la Search Console et que vous rencontrez des problèmes de sécurité persistants ou impossibles à résoudre sur votre site, vous pouvez nous en informer.

Signaler un problème de sécurité