Mise en place
Comment se passent l'audit de code et la surveillance
De notre premier échange à votre premier rapport, voici concrètement ce qui se passe. À chaque étape, vous savez ce que nous faisons, et ce que nous ne faisons pas.
Les étapes, du premier appel au premier rapport
Un premier échange
20 minutes pour nous décrire vos sites, vos serveurs ou votre code. Nous vous disons ce que nous pouvons faire pour vous.
Une proposition chiffrée
Un devis clair : par serveur pour la surveillance, selon la taille du projet pour l'audit de code.
La signature
Un contrat et un bon de commande, avec deux annexes : l'autorisation d'accès, qui fixe précisément ce que nous avons le droit de faire, et l'accord de protection des données personnelles.
L'installation, en 30 minutes
En visioconférence avec votre administrateur, qui lance notre programme d'installation. Celui-ci crée le compte en lecture seule et s'arrête au moindre doute. Nous vérifions ensemble ce que ce compte peut et ne peut pas faire. Pour un audit de code, il suffit de nous donner un accès en lecture à votre code.
Le premier rapport
Nous faisons l'inventaire de vos logiciels et un audit approfondi. Vous recevez un rapport qui liste les corrections à faire, les plus urgentes d'abord. La surveillance continue ensuite : alertes quand c'est important, rapports réguliers.
Ce que vous préparez
Peu de choses, et rien de secret à nous envoyer.
Pour la surveillance
- Un serveur Ubuntu ou Debian dont vous avez l'accès administrateur.
- Un accès à distance (SSH, la connexion sécurisée des administrateurs) depuis notre infrastructure. Si un pare-feu filtre, nous vous donnons l'adresse à autoriser.
- Les journaux de vos sites, conservés sur le serveur : sans eux, aucune attaque ne peut être détectée.
- Le nom de la personne à prévenir en cas d'alerte, avec ses horaires.
Pour l'audit de code
- Un accès en lecture à votre code (GitHub, GitLab, Bitbucket) ou une archive.
- La version à analyser et, pour un gros projet, la partie à cibler.
- Les commandes d'installation et de test, si elles sont particulières.
- Avec l'option corrections, un accès en écriture limité à une branche dédiée.
Ne nous envoyez jamais de mot de passe par email. L'installation se fait ensemble, en visioconférence, ou par votre administrateur en suivant nos instructions.
Ce qui est installé sur votre serveur
Pour la surveillance uniquement. L'audit de code, lui, n'installe rien chez vous.
| Élément | À quoi il sert | Ce qu'il ne peut pas faire |
|---|---|---|
| Un compte de surveillance | Lire les informations utiles à la sécurité de votre serveur. | Il n'a ni mot de passe, ni terminal, ni droit de modification. |
| Des programmes de lecture | Lire la liste de vos logiciels, vos journaux et votre configuration, et rechercher les fichiers suspects. | Ils appartiennent à votre administrateur : notre compte ne peut pas les modifier. |
| Une règle de droits | Autoriser notre compte à lancer ces programmes de lecture, et eux seuls. | Aucune autre commande n'est permise. |
| Une clé d'accès | Prouver que c'est bien nous qui nous connectons. | Elle n'ouvre aucun terminal et ne lance que les programmes de lecture. |
Comment nous retirer l'accès
La surveillance
Vous pouvez l'arrêter à tout moment, sans nous : votre administrateur supprime le compte, ses programmes et sa règle de droits. Nous fournissons sur demande la commande exacte. Prévenez-nous simplement pour que nous arrêtions aussi la surveillance de notre côté.
L'audit de code
À la fin de l'audit, vous retirez nos accès à votre code, et nous supprimons la copie que nous avions faite pour l'analyse.
Vos questions
Pouvez-vous casser quelque chose ?
Non. Le compte installé ne peut que lire. Aucune action n'est faite sur vos systèmes sans votre accord écrit, donné pour chaque action.
Que voyez-vous de nos données ?
Nous lisons les journaux techniques (adresses des visiteurs, pages demandées) et la configuration. Nous ne lisons pas vos bases de données. Quand nous repérons un fichier qui contient des mots de passe, nous ne relevons que son nom, jamais son contenu.
Que deviennent les informations collectées ?
Leur traitement est encadré par l'accord de sous-traitance signé avec vous : il nomme les prestataires techniques que nous utilisons et fixe les règles de sécurité et de suppression des données.
Que se passe-t-il en cas d'alerte grave ?
Nous vérifions l'alerte, puis nous contactons la personne que vous avez désignée, avec une explication et l'action recommandée. Vous décidez. Si vous nous le demandez par écrit, nous pouvons vous accompagner dans la mise en œuvre.
Est-ce que cela ralentit mon site ?
Non. La lecture des journaux équivaut à lire un fichier au fil de l'eau, et l'inventaire des logiciels ne prend que quelques secondes à quelques minutes. L'audit approfondi, plus long, est planifié aux heures creuses.
Prêt à faire le point ?
Commençons par un échange de 20 minutes : vous saurez exactement ce que nous ferions chez vous.