Blog
Des articles concrets pour ceux qui gèrent des systèmes : quoi corriger, dans quel ordre et pourquoi.
- Tous les sujets
- WordPress
- Sécurité web
- Réponse à incident
- Rançongiciels
- Développement sécurisé
- Conformité
- Identités et accès
- Hameçonnage
- Tests d’intrusion
- Sécurité de la messagerie
- Vulnérabilités
-
Sécurité WordPress : une liste de contrôle pratique
Douze mesures de durcissement WordPress, dans l’ordre : mises à jour, extensions abandonnées, 2FA, XML-RPC, sauvegardes, intégrité des fichiers et WAF.
-
Réponse à incident : un tabletop de deux heures cette semaine
Simulez en deux heures un ransomware ou une compromission de compte, listez les écarts et bâtissez un runbook avec des responsables nommés.
-
Les en-têtes de sécurité qui comptent, et ceux à abandonner
Guide pratique : CSP avec nonces, HSTS et preload, frame-ancestors, Referrer-Policy, Permissions-Policy, COOP, avec des exemples et ce qu’il faut retirer.
-
Avant de connecter les données de l'entreprise à un assistant IA
Checklist IT avant de connecter un LLM : classification des données, entrées hostiles, accès, journalisation, revue du fournisseur, responsabilité.
-
Concevoir et tester des téléversements de fichiers sécurisés
Une checklist de contrôles pour les fonctions de téléversement, tirée de la cheat sheet OWASP, avec un tableau de tests à exécuter sur chaque endpoint.
-
Mots de passe et clés d’accès : les recommandations du NIST
Les règles actuelles du NIST : 15 caractères minimum, pas de renouvellement imposé, contrôle des fuites, robustesse de la MFA et place des clés d’accès.
-
L’article 21 de NIS2 en pratique pour les organisations moyennes
Les dix mesures de gestion des risques de l’article 21 de NIS2 en pratique, et les délais de notification de l’article 23 : 24 h, 72 h et un mois.
-
Sécurité des JWT : les pièges courants et comment les éviter
Erreurs JWT courantes (alg none, confusion RS256/HS256, secrets HMAC faibles, claims non vérifiés, injection via kid, révocation, stockage) et correctifs.
-
Repérer un lien d’hameçonnage avant de cliquer
Lisez une URL comme un attaquant la construit : domaine enregistrable, sosies et punycode, astuce du @, redirections ouvertes, raccourcisseurs, extensions.
-
Comment lire un rapport de test d’intrusion
Ce que contient un bon rapport de test d’intrusion, comment les failles sont notées, quoi corriger d’abord et comment repérer un simple scan maquillé.
-
Durcir GitHub Actions en une semaine : plan pour équipes de dev
Cinq tâches quotidiennes pour GitHub Actions : permissions du token, audit des actions, injection de script, secrets et propriété des workflows.
-
Les 24 premières heures d’une attaque par rançongiciel
Premier jour d’une attaque par rançongiciel : confiner sans perdre de preuves, identifiants, sauvegardes, délais RGPD et NIS2, payer ou non.