Comment Daylit se protège : un test hebdomadaire et Security Watch

Daylit se teste lui-même. Chaque semaine, nous examinons toutes nos adresses publiques comme le ferait quelqu'un de l'extérieur. Chaque heure, nous comparons les logiciels de chaque conteneur aux listes officielles de vulnérabilités. Ce que nous trouvons apparaît dans notre administration ; ce qui est urgent nous parvient immédiatement par e-mail.

Le test de sécurité hebdomadaire

Chaque semaine, la plateforme teste elle-même chaque adresse servie par Daylit : nos propres sites et ceux de nos clients. En douceur, une requête à la fois, sans jamais se connecter, sans jamais deviner de mots de passe. Pour chaque adresse :

• Chiffrement : le certificat est valide et n'est pas près d'expirer ; les anciens protocoles (TLS 1.0 et 1.1) sont refusés ; http redirige vers https.
• En-têtes de sécurité : HSTS, nosniff, Referrer-Policy et protection contre le clickjacking.
• Ce qui doit rester privé : pas de .git, .env, copies de wp-config, journaux de débogage, phpinfo ou listes de répertoires accessibles.
• WordPress : pas de noms d'utilisateur visibles pour les inconnus, xmlrpc fermé, pas de numéro de version dans la page.
• Le routeur : uniquement les ports que nous avons ouverts délibérément.

Chaque constat reçoit un niveau : élevé (à corriger tout de suite), moyen ou faible. Les nouveaux constats de niveau moyen ou plus nous parviennent immédiatement par e-mail.

Daylit Security Watch

Chaque heure, Security Watch compare les logiciels de chaque conteneur à trois sources officielles :

• le Debian security tracker : chaque vulnérabilité connue par paquet, avec la version qui la corrige ;
• la liste de la CISA des vulnérabilités exploitées en ce moment même ;
• les avis de sécurité du NCSC néerlandais.

Pour chaque conteneur, nous faisons d'abord un inventaire : le système d'exploitation, chaque paquet et sa version, PHP, WordPress et ses extensions. Un paquet en retard sur la version corrigée est un constat ; un paquet figurant sur la liste d'exploitation active est critique.

Daylit installe lui-même les mises à jour de sécurité, selon leur gravité : une faille activement exploitée dans l'heure, le reste la nuit. Toujours d'abord en Test, avec un instantané avant et une vérification après ; si le site se dégrade, il revient à l'instantané. Les nouvelles versions de votre propre site passent par la chaîne de mise en production et restent sous votre contrôle.

Ce que nous avons trouvé et corrigé, sans noms : mijn.daylit.nl/veiligheid.

Ce que nous faisons d'autre

• Un conteneur par site : une faille dans un site n'atteint pas un autre.
• Vérification en deux étapes (clé d'accès ou application) pour Mon Daylit, toujours obligatoire pour les administrateurs ; la mise en ligne, le retour en arrière et l'acceptation de clés demandent votre clé d'accès à chaque fois.
• Sauvegardes quotidiennes et un instantané avant chaque mise à jour.
• Un journal d'audit qui ne peut pas être modifié sans que cela se voie : qui a fait quoi, et quand.
• Pas de secrets dans les paquets ou les messages : les clés et les mots de passe n'existent que dans l'environnement qui en a besoin.

Honnêtement

Un test automatisé ne trouve pas tout, et nous n'avons pas (encore) de certification comme ISO 27001. Nous travaillons toutefois selon ces normes et nous notons ce que nous faisons. Vous remarquez quelque chose qui ne va pas ? Écrivez-nous : nous réagissons rapidement et nous vous citons volontiers si vous le souhaitez.