Les dix premières secondes : le domaine
Sans charger une seule page, n'importe qui peut consulter les enregistrements publics de votre domaine. Deux d'entre eux montrent si votre courriel peut être contrefait.
Un enregistrement de politique d'expéditeur (SPF) absent, ou qui se termine par une règle permissive, signifie que n'importe qui peut envoyer un courriel qui semble venir de votre adresse.
Un enregistrement d'application (DMARC) absent signifie que les serveurs destinataires ne reçoivent aucune consigne sur les contrefaçons.
Le certificat derrière le cadenas a une date d'expiration. Si elle tombe dans quelques jours, c'est signe que personne ne la surveille.
Même constat pour un site qui s'affiche avec et sans www sans jamais trancher. Cela divise son référencement en deux.
Les vingt suivantes : des fichiers pour les machines
Quelques petits fichiers se trouvent à des adresses fixes sur la plupart des sites. Les quatre fichiers que personne ne relie les présente un par un. Ces trois-là en révèlent le plus :
- robots.txt liste ce que les robots ne doivent pas lire. C'est donc aussi la liste de ce que l'organisation préférerait que personne ne trouve.
- Le sitemap liste chaque page publique avec la date de sa dernière modification. N'importe qui voit à quelle fréquence le site est réellement mis à jour.
- security.txt indique aux chercheurs en sécurité qui contacter. La plupart des sites n'en ont pas.
Les vingt suivantes : la plateforme
Un site sous WordPress le laisse voir d'une douzaine de façons : les chemins de ses feuilles de style, leurs numéros de version, une ligne meta dans l'en-tête de la page. Rien de cela n'est un problème en soi.
Les trois points suivants peuvent l'être. Un scanner automatique les vérifie tous en moins de temps qu'il n'en faut pour lire cette phrase :
- La liste des utilisateurs livre les identifiants du personnel. Les identifiants sont la moitié d'une connexion explique pourquoi c'est important.
- L'interface distante héritée, xmlrpc.php, est peut-être encore active et répond aux requêtes.
- La médiathèque sert peut-être des dossiers du conseil et des listes de donateurs à quiconque devine l'adresse. Votre médiathèque est publique montre comment.
Les dix dernières : la page elle-même
L'année de copyright dans le pied de page est l'indice le plus rapide pour savoir si quelqu'un entretient le site.
Les en-têtes de réponse montrent quelles protections de sécurité le serveur envoie. Le plus souvent, il n'y en a aucune.
Les mesures de vitesse et d'accessibilité de la page d'accueil montrent si le site fonctionne bien pour les visiteurs sur téléphone et pour ceux qui utilisent un lecteur d'écran.
Au bout d'une minute, une personne mal intentionnée connaît votre plateforme, les identifiants de votre personnel, le niveau d'entretien du site, la configuration de votre courriel et l'endroit où pourraient se trouver vos documents privés.
Tout vient d'informations publiques. Personne n'a deviné un seul mot de passe.
Quoi corriger et quoi accepter
Corrigez ceci, dans cet ordre :
- Les enregistrements de courriel, parce qu'un courriel contrefait depuis votre domaine nuit à d'autres personnes.
- La liste des utilisateurs et l'interface distante, parce qu'ensemble elles font d'un site public une cible pour deviner les mots de passe.
- Tout document de la médiathèque qui n'aurait jamais dû être public.
- L'expiration du certificat, en mettant le nom d'une personne sur la date.
Inutile de cacher que le site tourne sous WordPress. Cela demande du travail et ne trompe personne d'important.
Laissez les dates du sitemap tranquilles. Si elles paraissent anciennes, prenez-le comme une raison de publier à un rythme régulier.
Une année de copyright dépassée signifie que personne n'a l'habitude de vérifier le pied de page. Mettez l'année à jour, puis intégrez cette vérification à votre routine.
Lancez l'audit gratuit sur votre site
Chaque contrôle ci-dessus fait partie de l'audit gratuit. Il ne lit que des informations publiques et prend à peu près la même minute.
Il couvre les enregistrements du domaine, le certificat, les fichiers pour les machines, les interfaces WordPress, la médiathèque, les en-têtes et les mesures de la page d'accueil. Chaque constat est rédigé en langage clair, avec le correctif à côté.
Saisissez votre domaine ci-dessous pour voir ce que voit un inconnu.
Leland Fiegel