Ce qu'on appelle votre surface d'exposition
Votre entreprise publie en permanence des informations sur internet, sans que personne n'ait décidé de le faire. Ce n'est pas une négligence, c'est le fonctionnement même du réseau. Pour que vos clients atteignent votre site, le système des noms de domaine doit annoncer publiquement quelle machine héberge ce site. Pour que vos e-mails arrivent, il doit annoncer quel serveur reçoit votre courrier. Pour que votre page s'affiche, votre serveur doit répondre à des demandes venant de n'importe où.
L'ensemble de ces informations visibles forme votre surface d'exposition. Elle existe que vous la surveilliez ou non. La seule question utile est de savoir ce qu'elle raconte de vous, et si elle raconte des choses que vous auriez préféré taire, comme la version exacte d'un logiciel qui n'a pas été mis à jour depuis trois ans.
Pourquoi un attaquant commence toujours par là
Contrairement à ce que suggèrent les films, une attaque ne commence presque jamais par une prouesse technique. Elle commence par de la lecture. Cette phase porte un nom dans le métier, la reconnaissance, et elle représente souvent la majeure partie du travail.
La raison est économique. Un groupe criminel qui cible des PME ne s'acharne pas sur une entreprise précise : il en examine des centaines, automatiquement, et concentre ses efforts sur celles qui présentent le plus de défauts pour le moins d'effort. Un domaine sans protection contre l'usurpation d'e-mail permet d'envoyer une fausse facture crédible dès le lendemain. Un serveur qui annonce une version obsolète indique quelle faille connue essayer en premier. Dans les deux cas, l'attaquant n'a rien forcé : il a lu ce que vous publiez.
C'est aussi la logique des attaques par la chaîne d'approvisionnement : une PME peu protégée devient le chemin le plus court vers un client plus gros et mieux défendu. Et c'est souvent le premier maillon d'un vol de données, qui commence par une usurpation d'identité plausible plutôt que par une effraction.
Les en-têtes de sécurité, expliqués simplement
Quand un navigateur demande votre page d'accueil, votre serveur renvoie la page, mais aussi une série d'instructions invisibles, appelées en-têtes. Certaines de ces instructions disent au navigateur comment se comporter pour protéger votre visiteur. Elles ne coûtent rien, ne ralentissent rien, et beaucoup de sites suisses ne les envoient simplement pas, faute que quelqu'un s'en soit chargé.
| En-tête | Ce qu'il demande au navigateur |
|---|---|
| Strict-Transport-Security | N'utiliser que la connexion chiffrée, même si le visiteur tape l'adresse sans « https ». |
| Content-Security-Policy | Ne charger que les scripts et les images provenant des sources que vous avez autorisées. |
| X-Frame-Options | Refuser que vos pages soient affichées dans un cadre sur le site de quelqu'un d'autre. |
| X-Content-Type-Options | Ne pas deviner la nature d'un fichier, et donc ne pas exécuter par erreur ce qui devrait être affiché. |
| Referrer-Policy | Ne pas révéler aux autres sites l'adresse complète de la page d'où vient le visiteur. |
| Permissions-Policy | Interdire l'accès à la caméra, au micro et à la position pour les contenus tiers. |
Aucun de ces en-têtes n'empêche à lui seul une attaque déterminée. Leur absence signale autre chose, et c'est cela qui intéresse un attaquant : elle indique qu'aucun professionnel n'a regardé cette configuration depuis longtemps. Un site qui les envoie tous est un site suivi. Un site qui n'en envoie aucun est une invitation à chercher plus loin.
Ce que cet outil ne teste pas, et pourquoi
Un outil d'analyse d'exposition pourrait aller beaucoup plus loin. Il pourrait balayer les ports ouverts de votre serveur, deviner vos sous-domaines en essayant des milliers de noms, tenter d'accéder à des chemins d'administration, ou envoyer des requêtes malformées pour voir comment votre site réagit. Ces techniques existent et sont légitimes dans le cadre d'un test d'intrusion, c'est-à-dire avec un mandat écrit.
Cet outil ne les emploie pas, pour trois raisons. Elles sont intrusives, et rien ne prouve que la personne qui saisit un domaine dans un formulaire en soit responsable. Elles sont lentes et bruyantes, alors que l'intérêt d'un outil en ligne est de donner une réponse en quelques secondes. Et sur un système dont on n'a pas la maîtrise, elles deviennent juridiquement discutables en Suisse comme ailleurs.
Il en résulte une limite qu'il faut assumer : un bon score ici ne veut pas dire que votre système d'information est sûr. Il veut dire que la vitrine est correctement tenue. Vos sauvegardes, vos accès, vos postes de travail et vos comportements internes ne sont pas dans le champ, et c'est justement ce que couvre le check-up cyber.
Que faire des résultats
Traitez les constats dans l'ordre de gravité affiché. Les points de gravité élevée concernent presque toujours la messagerie, parce que l'usurpation d'e-mail est le vecteur d'attaque le plus rentable contre une PME. Les points de gravité moyenne concernent le chiffrement et la configuration du serveur. Les points faibles sont du renforcement utile, pas des urgences.
Presque rien ne se corrige depuis votre bureau. Ces réglages vivent chez votre hébergeur et chez votre prestataire informatique. Transmettez-leur le résultat tel quel : les noms d'en-têtes et d'enregistrements employés ici sont les termes techniques exacts, qu'ils reconnaîtront immédiatement. Une demande précise obtient généralement une correction dans la journée.
Enfin, relancez l'analyse après correction, puis une fois par trimestre. Une configuration se dégrade avec le temps : un certificat expire, une migration efface des en-têtes, un nouveau prestataire d'envoi d'e-mails casse un enregistrement SPF. Les autres outils gratuits du site complètent utilement ce diagnostic.