Savoir où en est vraiment votre site
Un audit de sécurité ne sert pas à produire une liste de failles incompréhensible. Il sert à vous dire ce qui est grave, ce qui peut attendre, et dans quel ordre corriger — en français. Nous avons appliqué cette méthode à 426 sites de communes girondines.
Audit de sécurité
Un état des lieux complet de votre site, mené à distance et sans interruption de service. Nous n’avons besoin d’aucun accès pour la première passe.
Version du CMS et des extensions, comptes encore actifs — souvent d’anciens prestataires —, chiffrement, exposition de l’administration, en-têtes HTTP de sécurité. Puis les sauvegardes : leur existence, mais surtout la capacité réelle à restaurer, car une sauvegarde jamais testée n’en est pas une. Enfin l’hébergement, la souveraineté des données et le traitement des données personnelles, parce que sécurité et RGPD ne se séparent pas.
Première passe à distance sur la surface exposée, sans rien toucher. Puis, si vous nous ouvrez un accès, une seconde passe sur la configuration interne, les rôles et les journaux. L’ensemble prend quelques jours et ne provoque aucune coupure.
Un rapport où chaque constat est classé par gravité réelle et par effort de correction — les deux comptent, mais pas dans le même ordre. Puis un échange de restitution pour arbitrer, et un plan d’action chiffré. Vous restez libre de faire appliquer les correctifs par nous ou par votre prestataire habituel.
Remédiation et correctifs
Un rapport qui reste dans un tiroir ne protège personne. Nous appliquons les correctifs, ou nous accompagnons celui qui les appliquera.
Nous commençons par ce qui est activement exploitable : extension vulnérable connue, compte administrateur oublié, absence de sauvegarde exploitable. Viennent ensuite les durcissements de configuration, puis les points de conformité formelle. Une commune ou une TPE ne peut pas tout traiter le même mois — l’ordre est donc l’essentiel du travail.
Nous pouvons intervenir directement, ou fournir à votre prestataire des consignes précises et vérifiables. Dans le second cas, nous contrôlons la bonne application à la fin. Nous ne demandons jamais à récupérer la main sur votre hébergement pour vous rendre captif.
Un site corrigé se dégrade à nouveau si personne ne le met à jour. Nous proposons soit un contrôle périodique, soit un forfait de maintenance qui couvre les mises à jour, les sauvegardes et la surveillance.
Site piraté : intervention d’urgence
Défiguration, redirections vers des sites tiers, courriels frauduleux envoyés depuis votre domaine : nous isolons, nettoyons, restaurons et refermons la porte d’entrée.
Votre site redirige vers une page inconnue, votre domaine est signalé comme dangereux par le navigateur, vos courriels partent en spam, des pages que vous n’avez jamais écrites apparaissent dans les résultats de recherche, ou l’administration refuse votre mot de passe. Au moindre de ces signes, coupez l’accès public avant toute chose.
Isolation immédiate, capture de l’état pour comprendre ce qui s’est passé, nettoyage des fichiers et de la base, restauration depuis une sauvegarde saine, puis fermeture de la faille d’entrée et rotation de tous les accès. Un site remis en ligne sans comprendre la cause se refait pirater dans les semaines qui suivent.
Si des données personnelles ont pu être exposées, le RGPD impose une notification à la CNIL sous 72 heures, et l’information des personnes concernées lorsque le risque est élevé. Pour une collectivité, un signalement à l’ANSSI s’ajoute. Nous vous aidons à documenter l’incident et à rédiger ces notifications.
Directive NIS 2
La directive européenne étend les obligations de cybersécurité à de nouvelles entités, dont les collectivités territoriales. Beaucoup découvrent qu’elles sont concernées sans savoir par quoi commencer.
Le périmètre dépend du secteur d’activité et de la taille de la structure. Les collectivités territoriales, les acteurs de la santé, de l’eau, de l’énergie et des transports figurent parmi les entités visées. La première étape est un examen de votre situation, qui prend peu de temps et évite de s’engager dans un chantier inutile.
Une analyse des risques documentée, des mesures de sécurité proportionnées, une procédure de gestion des incidents avec obligation de notification, et une responsabilisation explicite de la direction. Ce ne sont pas des exigences techniques exotiques : ce sont des pratiques que la plupart des structures ont partiellement, sans les avoir formalisées.
Par l’inventaire de ce qui existe déjà. Dans la majorité des cas, la moitié des mesures attendues est en place mais non documentée, et c’est cette documentation qui fait défaut lors d’un contrôle. Nous partons de là plutôt que de tout reconstruire.
Sensibilisation des équipes
La majorité des incidents commence par un geste humain : une pièce jointe ouverte, un mot de passe réutilisé, un lien cliqué dans un message convaincant. Aucune mesure technique ne compense durablement ce point.
Les attaquants ne forcent presque jamais une porte technique quand une porte humaine est ouverte. L’hameçonnage reste le premier vecteur d’entrée, et il vise en priorité les personnes qui n’ont pas de rôle informatique : accueil, comptabilité, direction.
Des sessions courtes, en présentiel ou à distance, construites sur des cas réels plutôt que sur des principes généraux. On y montre de vrais courriels frauduleux, on décortique ce qui aurait dû alerter, et on établit ensemble les réflexes à adopter en cas de doute.
Reconnaître un message frauduleux, gérer ses mots de passe sans les noter, comprendre la double authentification, réagir correctement quand on pense avoir cliqué — le pire réflexe étant de ne rien dire — et savoir qui prévenir en interne.
