Sécurité des sites web

Audit de sécurité de sites web

Nous ne faisons pas tout : nous regardons ce qui est visible de l'extérieur sur votre boutique en ligne, et nous vous prévenons avant que Google ne le fasse.

Audit de sécurité, investigation d'incident et surveillance mensuelle pour boutiques WordPress et WooCommerce.

Demander un diagnostic express Notre méthode

60 000 HUF, déduits du prix de l'audit complet.

Trois services, une seule équipe

  • Audit

    Nous recherchons les points faibles de votre site ou de votre boutique en ligne.

  • Gestion d'incident

    Si le problème est déjà là : nous découvrons ce qui s'est passé et remettons le site en état.

  • Surveillance continue

    Si vous le souhaitez, nous veillons ensuite en continu sur votre site.

Notre méthode

L'analyse externe

Douze étapes, toutes à partir de sources publiques. Le code source du site et les en-têtes de réponse. Le contenu indexé par les moteurs de recherche. Le DNS et la configuration de la messagerie, y compris la possibilité d'envoyer des e-mails falsifiés au nom de votre domaine. L'état du certificat et du chiffrement. Les sous-domaines oubliés, retrouvés dans les journaux publics de certificats. Et les failles publiées qui correspondent aux numéros de version identifiés.

Une seule règle guide tout : c'est la réponse du serveur qui décide. Ce qu'il sert sans authentification est public. Ce qu'il refuse, nous n'y touchons pas.

Ce que nous ne faisons jamais sans autorisation

  • Tentative de connexion
  • Téléchargement de fichiers
  • Devinette de chemins
  • Scan de ports
  • Test de vulnérabilité actif
  • « Prouver » une faille en l'exploitant

Avec une autorisation, ce sont des outils professionnels légitimes : sur mandat écrit, avec un périmètre et une plage horaire précis, nous les réalisons. Sans autorisation, jamais.

Ce que l'on voit de l'extérieur, c'est la surface. Ce qu'il y a à l'intérieur du serveur, seule une analyse peut le dire, et il faut pour cela votre mandat écrit.

Comment démarre la collaboration

  1. Prise de contact

    Écrivez-nous et dites-nous de quel site ou de quelle boutique en ligne il s'agit, et quel est le problème s'il y en a déjà un.

  2. Accès sans mot de passe

    Nous travaillons via notre propre Claude Code Bridge : vous n'avez pas à transmettre de mot de passe FTP, de base de données ou d'administration, et vous pouvez révoquer l'accès à tout moment.

  3. Résultats et surveillance

    Nous vous montrons ce que nous avons trouvé, nous remettons en état ce qui doit l'être et, si vous le souhaitez, nous veillons ensuite en continu sur votre site.

Vous trouverez les détails techniques de l'accès sur claudecodebridge.com (en anglais).

Le travail interne en huit étapes

  1. Je compare le cœur du système à sa somme de contrôle officielle. Dans un cas, c'est la seule chose qui a révélé toute l'infection.

  2. Je remonte jusqu'au point d'entrée dans les journaux, à la seconde près. Sans cela, on ne sait pas ce que l'on nettoie, ni quand ce sera fini.

  3. Chaque motif est d'abord exécuté à blanc, et la liste est relue par un humain, fichier par fichier.

  4. Le nettoyage ne supprime rien : tout part en quarantaine, de façon réversible.

  5. Je ferme la voie d'entrée : mots de passe, sessions, clés, accès à l'hébergement.

  6. Sans cela, le nettoyage ne sert qu'à tout recommencer le lendemain.

  7. Après le travail, je mesure à nouveau, avec la même méthode.

  8. Le rapport contient les mesures, pas mon opinion.

Ce que vous recevez à la fin

  • Un rapport écrit avec horodatages et mesures, qu'un autre spécialiste peut vérifier.
  • Une synthèse claire : ce qui s'est passé, ce qui ne s'est pas passé, ce qu'il faut faire et ce qui est urgent.
  • Une liste détaillée de ce qui ne s'est pas produit. C'est la partie qui manque généralement ailleurs.
  • Une liste d'indicateurs pour vérifier vos autres sites selon le même schéma.

Cas

Vingt et un cas, sans nom de client

Issus d'investigations réelles. Derrière chaque chiffre, il y a une mesure.

99 s
Le temps écoulé entre une connexion réussie et la prise de contrôle totale, sans la moindre opération irrégulière. L'attaquant n'a rien piraté : il s'est simplement connecté.
51 jours
La durée pendant laquelle une attaque est passée inaperçue, avant qu'on ne nous alerte de l'extérieur.
23 073
Fausses pages produit apparues dans les moteurs de recherche sous un domaine hongrois. Un visiteur humain n'en voyait rien.
100+
Exécutions, zéro détection. L'antimalware tournait chaque nuit sur le serveur, mais il surveillait le mauvais répertoire.

Cinq enseignements tirés des vingt et un cas

  1. Dans la plupart des infections graves, le point d'entrée n'était pas un bug logiciel, mais un mot de passe valide. Les mises à jour seules n'y peuvent rien.

  2. Un site infecté fonctionne généralement parfaitement. Attendre les symptômes, c'est partir trop tard.

  3. Les protections en place ne fonctionnent souvent que sur le papier : elles regardent au mauvais endroit, sont désactivées ou ne correspondent pas à cause d'un seul caractère.

  4. Les journaux sont ce qu'il y a de plus précieux lors d'un incident, et ils ne se reconstituent pas après coup.

  5. L'ordre de la remise en état compte autant que le nettoyage lui-même. Dans le mauvais ordre, tout le travail est perdu, et cela ne se voit pas de l'extérieur.

La phrase que nous entendons le plus souvent : « De toute façon, chez moi, il n'y a rien à voler. » L'attaquant ne veut pas vos données, il veut un site qui fonctionne et qui a bonne réputation comme point de départ. Cela a un prix, et il n'est pas nul.

Je veux le dossier complet, les 21 cas

Vingt et un, pas vingt-huit. Notre recueil est plus vaste, mais seuls 21 cas sont détaillés. Nous n'affichons aucun chiffre que nous ne pourrions pas démontrer sur demande.

Tarifs

Nous les affichons, car nous n'avons rien à cacher. Tous les prix sont hors taxes, TVA non comprise.

Diagnostic express

3 heures, un court état des lieux écrit : y a-t-il un problème et, si oui, de quelle ampleur. Son prix est déduit de l'audit si vous le commandez.

60 000 HUFDemander un diagnostic express

Prestations ponctuelles

  • Audit de sécuritéAudit complet des fichiers et de la base de données, documentation, plan de correction280 000 HUF
  • Investigation d'incidentPréservation des traces, point d'entrée, chronologie, liste complète des constatsà partir de 550 000 HUF
  • Correction, nettoyageTarif journalier, avec estimation préalable200 000 HUF / jour
  • DurcissementRenforcement sans infection150 000 HUF
  • Sortie de liste noireNettoyage du spam de moteurs de recherche120 000 HUF
  • Intervention en urgenceSous 24 à 48 heures+80 %

Nous ne donnons pas de prix fixe pour la correction avant l'analyse. L'ampleur n'est pas visible avant, et celui qui annonce un prix fixe d'avance soit devine, soit vous a facturé le risque.

Surveillance

  • Essentiel

    45 000 HUF / mois

    Contrôle mensuel, rapport mensuel

  • Recommandé

    Standard

    90 000 HUF / mois

    Contrôle hebdomadaire, délai de réponse de 48 heures, audit approfondi trimestriel

  • Critique

    180 000 HUF / mois

    Délai de réponse de 24 heures, 2 heures d'incident incluses par mois

Le nettoyage est un état des lieux, pas une protection. Aujourd'hui, quand il y a un problème, c'est un tiers qui le remarque : Google, l'hébergeur ou un client. Le contrat de surveillance fait une seule chose : c'est nous qui vous prévenons en premier.

Qui mène l'investigation ?

Gábor Vidovics, spécialiste de la réponse aux incidents de sécurité web

Gábor Vidovics

spécialiste de la réponse aux incidents de sécurité web

Je travaille dans l'informatique depuis près de trente ans, dont plus de vingt comme développeur et directeur technique. Aujourd'hui, j'enquête sur des sites piratés, ralentis ou au comportement suspect, je les remets en état, et je veille à ce qu'il ne leur arrive plus rien ensuite.

Je ne force pas le système, je le comprends : à partir des journaux, des fichiers et de la base de données, je retrace ce qui s'est passé, par où l'attaquant est entré et ce qu'il faut fermer pour qu'il ne revienne pas. Je mesure, je ne devine pas ; je mets en quarantaine, je ne supprime pas : vos données restent intactes pendant toute l'investigation.

Du PHP natif aux grands frameworks, j'ai travaillé sur des codes très variés, c'est pourquoi j'accepte aussi les sites sur mesure « auxquels plus personne n'ose toucher ». J'apporte le même soin à une maintenance planifiée qu'à une urgence où tout brûle, et dans ce cas aussi, je mène le dossier jusqu'à sa clôture.

Wednesday Agency, marque de 30km.hu Kft., est une agence de marketing digital active depuis huit ans, présente à Budapest et à Londres. Numéro d'immatriculation : 07-09-029835 · Numéro fiscal : 24382315-2-07.

Tout sur l'agence (en anglais)(s'ouvre dans un nouvel onglet)

Parlons-en

Si la situation est urgente (Google vous a alerté, l'hébergeur vous a contacté, ou vous voyez quelque chose d'étrange sur le site), écrivez-nous en mettant le mot « URGENT » dans l'objet. Ces demandes sont traitées en priorité.

info@30km.hu Demander un audit

Les jours ouvrés, nous répondons en moins de 6 heures. Indiquez votre domaine et ce que vous constatez : c'est tout ce qu'il nous faut pour une première réponse.

Nous ne promettons pas du 24/7, car nous ne pourrions pas le tenir. Ce que nous promettons, nous le tenons.

E-mail Écrivez-nous