Check-list de sécurité rapide pour les webmasters

Mardi 18 septembre 2007

Ces derniers mois, on a assisté à une augmentation notable du nombre de sites Web compromis sur le Web. L’une des explications est que des personnes recourent au piratage de sites afin de distribuer des logiciels malveillants ou de tenter de spamer les résultats de recherche. Quelle qu’en soit la raison, c’est le moment idéal pour nous tous d’examiner des conseils de sécurité utiles pour les webmasters.

Vérifiez la configuration de votre serveur.

Apache propose quelques
conseils de configuration de sécurité
sur son site et Microsoft propose des
ressources de centre technique pour IIS
sur le sien. Certains de ces conseils incluent des informations sur les autorisations de répertoire, les inclusions côté serveur, l’authentification et le cryptage.

Restez à jour avec les dernières mises à jour logicielles et correctifs.

Un piège courant pour de nombreux webmasters consiste à installer un forum ou un blog sur leur site Web, puis à l’oublier. Tout comme emmener votre voiture pour une révision, il est important de vous assurer que vous disposez de toutes les dernières mises à jour pour tout programme logiciel que vous avez installé. Besoin de conseils ? Le blogueur Mark Blair en a quelques-uns
de bons, notamment l’établissement d’une liste de tous les logiciels et plugins utilisés pour votre site Web et le suivi des numéros de version et des mises à jour. Il suggère également de profiter des flux que leurs sites Web peuvent fournir.

Surveillez régulièrement vos fichiers journaux.

Prendre cette habitude présente de nombreux avantages considérables, dont une sécurité accrue. Vous pourriez être surpris par ce que vous trouverez.

Vérifiez les vulnérabilités courantes de votre site.

Évitez d’avoir des répertoires dotés d’autorisations ouvertes. C’est presque comme laisser la porte d’entrée de votre maison grand ouverte, avec un paillasson sur lequel est écrit « Entrez et servez-vous ! » Vérifiez également la présence de vulnérabilités
XSS
(scripts intersites) et
d’injection SQL
. Enfin, choisissez de bons mots de passe. Le centre d’aide Gmail propose de bonnes
directives
à suivre, qui peuvent être utiles pour choisir des mots de passe en général.

Méfiez-vous des fournisseurs de contenu tiers.

Si vous envisagez d’installer une application fournie par un tiers, telle qu’un widget, un compteur, un réseau publicitaire ou un service de statistiques Web, veillez à faire preuve de diligence raisonnable. Bien qu’il y ait beaucoup de superbes contenus tiers sur le Web, il est également possible que des fournisseurs utilisent ces applications pour propager des exploits, tels que des scripts dangereux, vers vos visiteurs. Assurez-vous que l’application est créée par une source réputée. Ont-ils un site Web légitime avec des informations de support et de contact ? D’autres webmasters ont-ils utilisé le service ?

Essayez une recherche Google site: pour voir ce qui est indexé.

Cela peut sembler un peu évident, mais c’est souvent négligé. C’est toujours une bonne idée de faire une vérification rapide et de s’assurer que tout semble normal. Si vous n’êtes pas déjà familier avec l’opérateur de recherche
site: , c’est un moyen de restreindre votre recherche à un site spécifique. Par exemple, la recherche
site:googleblog.blogspot.com
ne renverra que des résultats provenant du blog officiel de Google.

Utilisez
les Outils pour webmasters

de Google. Il comprend toutes sortes de bonnes choses comme un assistant d’état du site et des outils pour gérer la façon dont Googlebot explore votre site. Une autre fonctionnalité intéressante est que si Google pense que votre site a été piraté pour héberger des logiciels malveillants, notre
console pour webmasters affichera des informations plus détaillées, telles qu’un échantillon d’URL nuisibles. Une fois que vous pensez que le logiciel malveillant a été supprimé, vous pouvez demander une réévaluation via les Outils pour webmasters.

Utilisez des protocoles sécurisés.

SSH et SFTP doivent être utilisés pour le transfert de données, plutôt que des protocoles en texte clair tels que telnet ou FTP. SSH et SFTP utilisent le cryptage et sont beaucoup plus sûrs. Pour cela et bien d’autres conseils utiles, consultez
Conseils pour nettoyer et sécuriser votre site Web.

de StopBadware.org.
Lisez le.

Google Online Security Blog 🙂

. Voici un contenu de choix sur la sécurité en ligne avec des indications vers de nombreuses ressources utiles. C’est un bon élément à ajouter à vos flux Google Reader.

Contactez votre société d’hébergement pour obtenir de l’aide.

La plupart des sociétés d’hébergement disposent de groupes de support utiles et réactifs. Si vous pensez qu’un problème subsiste, ou si vous souhaitez simplement vous assurer d’être informé, visitez leur site Web ou appelez-les.
Nous espérons que vous trouverez ces conseils utiles. Si vous avez vos propres conseils à partager, vous pouvez lancer une discussion dans le groupe
Aide pour les webmasters Google

. Pratiquez un webmastering sûr !