Ce qu'un inconnu apprend de votre site en une minute

Les dix premières secondes : le domaine

Avant de toucher au site, un inconnu lit les enregistrements publics du domaine. Deux d'entre eux disent si votre courriel peut être contrefait. Un enregistrement de politique d'expéditeur absent, ou qui se termine par une règle permissive, signifie que n'importe qui peut envoyer un courriel qui semble venir de votre adresse. Un enregistrement d'application absent signifie que les serveurs destinataires ne reçoivent aucune consigne sur ce qu'il faut faire des contrefaçons.

Le certificat qui donne au site son cadenas porte une date d'expiration. Une date à quelques jours dit à l'inconnu que personne ne surveille. Tout comme un site qui répond à une adresse avec www et pas sans, ou qui répond aux deux sans en choisir une, ce qui divise en deux son référencement.

Les vingt suivantes : des fichiers pour les machines

Le fichier robots liste ce que les robots ne doivent pas lire et, ce faisant, liste ce que l'organisation préférerait que personne ne trouve. Le sitemap liste chaque page publique avec la date de sa dernière modification, calendrier honnête de la vitalité du site. Un fichier de contact pour les chercheurs en sécurité est soit là, soit, sur la plupart des sites, absent. Une partie précédente de cette série couvre les quatre.

Les vingt suivantes : la plateforme parle

Un site WordPress s'annonce d'une douzaine de façons : les chemins d'où se chargent ses feuilles de style, le numéro de version qui leur est accolé, une ligne meta dans l'en-tête de la page. Rien de cela n'est un problème en soi. Ce qui suit peut l'être.

La liste des utilisateurs, décrite dans la partie précédente, livre des identifiants. L'interface distante héritée dit si elle répond. La médiathèque, décrite dans la première partie de la série, sert peut-être des dossiers du conseil et des listes de donateurs à quiconque devine l'adresse. Chacun de ces éléments est une requête, et un scanner les fait toutes le temps de lire cette phrase.

Les dix dernières : la page elle-même

L'année de copyright dans le pied de page est la lecture la plus rapide pour savoir si quelqu'un entretient le site. Les en-têtes de réponse disent quelles protections de sécurité le serveur envoie, et le plus souvent qu'il n'en envoie aucune. Les mesures de vitesse et d'accessibilité de la page d'accueil disent comment le site traite les visiteurs sur téléphone et ceux qui ne peuvent pas le voir.

Un inconnu qui a un but connaît maintenant la plateforme, les identifiants du personnel, les habitudes de maintenance, la posture courriel et l'endroit où pourraient se trouver les documents privés. Tout cela à partir d'informations publiques, sans qu'un seul mot de passe ait été deviné.

Quoi corriger et quoi accepter

Corrigez, dans cet ordre : les enregistrements de courriel, parce qu'un courriel contrefait depuis votre domaine nuit à d'autres personnes ; la liste des utilisateurs et l'interface distante, parce qu'elles transforment un site public en cible pour la devinette de mots de passe ; tout document de la médiathèque qui n'aurait jamais dû être public ; et l'expiration du certificat, en mettant un nom sur le calendrier.

Acceptez que le site dise qu'il tourne sous WordPress. Le cacher est une besogne qui ne trompe personne d'important. Acceptez les dates du sitemap, et laissez-les motiver un rythme de publication. Acceptez que l'année de copyright soit une habitude, et corrigez l'habitude.

L'audit gratuit est cette minute

Chaque ligne ci-dessus est un contrôle que l'audit gratuit exécute, sur des informations publiques uniquement, dans à peu près la même minute. Il lit les enregistrements du domaine, le certificat, les quatre fichiers, les interfaces WordPress, la médiathèque, les en-têtes et les mesures de la page d'accueil, et rédige le tout en langage clair avec le correctif à côté de chaque constat. C'est toute l'idée : la minute de l'inconnu, dépensée pour vous d'abord.