Sécurité
La sécurité, par couches.
Un hébergeur infogéré, un pare-feu pour WordPress et Cloudflare devant chaque site que nous gérons. Des mises à jour chaque mois, et des accès que vous pouvez voir et révoquer.
Mis à jour le
Données d’exemple pour une organisation fictive.
Ce dont chaque site a besoin.
Nous ne prenons un site en charge qu’avec les trois en place. Chacun est facturé par son fournisseur à ses tarifs publiés. L’hébergement est récurrent, il dépend de votre trafic, et vous choisissez la taille de l’offre.
- Un hébergeur infogéréComme Kinsta, au nom de votre organisation. L’hébergement est un coût récurrent aux tarifs publiés de l’hébergeur, il dépend de votre trafic, et vous choisissez la taille de l’offre. L’hébergeur exploite les serveurs, leur disponibilité et les sauvegardes de l’infrastructure, avec son propre support 24 h/24, 7 j/7.
- Un pare-feu pour WordPressWordfence Premium, sous licence pour votre site. Il bloque de nombreuses attaques connues entre deux mises en production, y compris les attaques visant une faille d’extension rendue publique avant son correctif.
- CloudflareVotre domaine sur Cloudflare, avec son pare-feu applicatif web et sa protection DDoS activés, devant l’hébergeur.
Nous recommandons aussi
Un journal d’activité
Une trace de qui a modifié quoi dans WordPress, et quand. Avec les journaux d’accès au serveur de votre hébergeur, ces indices nous permettent de reconstituer ce qui s’est passé après un incident.
Le journal d’activité dans LFW MonitorComment nous en prenons soin.
Comme le prévoient l’annexe du forfait de gestion (en anglais) et le contrat de services (en anglais). Les délais de réponse sont des objectifs de bonne foi pendant les heures ouvrées, pas des garanties.
- Des mises à jour chaque moisWordPress, les thèmes et les extensions, déployés depuis le contrôle de version avec des vérifications automatiques après chaque mise en production. Entre deux mises à jour, les pare-feu bloquent les attaques connues.
- Des accès individuels et limitésDes comptes que vous nous accordez, chacun limité à ce que le travail exige, avec authentification multifacteur quand elle est proposée. Vous pouvez voir et révoquer exactement ce à quoi nous accédons.
- Des sauvegardes que nous vérifionsLes sauvegardes automatiques de votre hébergeur. Nous vérifions régulièrement qu’elles s’exécutent, et nous restaurons à partir d’elles si nécessaire. L’offre de votre hébergeur fixe leur fréquence et leur durée de conservation.
- Si le site est compromisPrévenez-nous dans le Portail client à toute heure. Nous commençons la restauration à partir de la sauvegarde de votre hébergeur au plus tard le jour ouvré suivant. Une enquête plus poussée et le nettoyage sont chiffrés d’abord.
- Nos erreurs, corrigées en premierSi l’une de nos mises en production casse quelque chose, la corriger est notre tâche la plus prioritaire pendant les heures ouvrées, sans frais.
- Heures d’ouvertureDu lundi au vendredi, de 9 h à 17 h, heure de l’Est (de 6 h à 14 h, heure du Pacifique), hors jours fériés fédéraux. En général, nous n’assurons ni permanence en dehors de ces heures ni astreinte, sauf accord négocié séparément.
Pour votre revue de sécurité.
Les agences publiques peuvent aussi faire vérifier gratuitement les vulnérabilités de leurs sites publics grâce aux services Cyber Hygiene de la CISA. Envoyez-nous les rapports, et les corrections suivent les mises à jour mensuelles ou un devis à prix fixe.
- Questionnaires de sécuritéNos réponses aux questions critiques du HECVAT sont publiées, et nous remplissons le formulaire propre à votre établissement à partir d’elles. Lire les réponses
- Vérification des antécédentsEffectuée avant que nous ayons accès, quand votre contrat l’exige.
- Sous-traitantsNous restons responsables du travail. Dans le cadre du contrat d’une agence, aucun ne travaille sur votre site sans votre accord écrit.
- SOC 2Les rapports de votre hébergeur, comme SOC 2, couvrent ses serveurs. LFW ne détient aucun rapport SOC 2.
Le Portail client et LFW.com
Nos propres systèmes.
- Où les données sont stockéesLe Portail client, les formulaires de LFW.com et l’audit gratuit fonctionnent sur le serveur propre de LFW, hébergé par Hetzner à Ashburn, en Virginie. Il est sauvegardé chaque jour, et chaque sauvegarde chiffrée est copiée vers Cloudflare R2.
- Aucun mot de passeVous vous connectez avec un lien envoyé par e-mail, valable une seule fois et qui expire au bout de 15 minutes, ou avec une clé d’accès. Les demandes de liens sont limitées en fréquence, et le personnel de LFW se connecte de la même façon. Il n’y a aucun mot de passe à changer.
- Les personnes chez LFWLeland Fiegel, fondateur de LFW et son seul membre du personnel au 27 septembre 2026.
- EnregistrementL’enregistrement de session (Replay) est désactivé sur LFW.com depuis le 6 octobre 2026. S’il revient, il sera d’abord annoncé dans la politique de confidentialité, et il n’est jamais ajouté au site d’un client sans l’accord écrit du client. Il n’enregistre jamais le Portail client, les pages de connexion, ni rien de ce que vous tapez.
- Outils d’IANous utilisons des outils d’IA, dont Claude, pour rédiger et vérifier le travail. Les données des clients ne servent jamais à entraîner des modèles, et une personne relit chaque résultat avant qu’il ne vous parvienne.
Écran d’exemple. L’adresse est fictive.
Prestataires de services.
Les sous-traitants ultérieurs de LFW, les entreprises qui traitent des données pour son compte. La politique de confidentialité (en anglais) nomme les mêmes entreprises et ce que chacune reçoit.
- HetznerLe serveur et la base de données de LFW, à Ashburn, en Virginie.
- CloudflareDiffusion de contenu et sécurité pour LFW.com, et stockage des sauvegardes chiffrées de LFW.
- Google WorkspaceMessagerie et agenda.
- Amazon SESL’envoi des e-mails de LFW, comme les liens de connexion, les rapports d’audit, les reçus et le LFW Weekly Recap.
- OpenAI et AnthropicAssistance par IA pour la recherche, la rédaction, le développement logiciel et le travail administratif.
Divulgation de vulnérabilités
Signaler une vulnérabilité.
Vous avez trouvé un problème de sécurité sur LFW.com ? Envoyez par e-mail la page ou l’adresse concernée, ce que vous avez fait et ce que vous avez vu. Une capture d’écran ou la requête exacte aide. Si c’est sensible, dites-le dès la première ligne, et nous passons d’abord à un canal privé.
- Deux jours ouvrésUne personne répondPour confirmer que nous avons reçu votre signalement.
- EnsuiteNous vous exposons le planSi nous pouvons le reproduire, et ce que nous comptons faire.
- En général sous quelques joursNous corrigeonsLes problèmes confirmés sont corrigés dans le cadre normal des opérations. Nous vous prévenons quand le correctif est en ligne.
- Si vous le souhaitezNous vous citonsNommé ici une fois le correctif en ligne, ou anonyme si vous préférez. Nous ne versons pas de primes.
- Dans le périmètre
- LFW.com
- Le Portail client
- L’audit gratuit et les formulaires
- Ce que nous demandons
- Ne lisez, ne modifiez et ne téléchargez pas de données qui ne sont pas les vôtres. Si vous y accédez par accident, arrêtez-vous et prévenez-nous.
- Aucun test de déni de service, aucun spam de formulaire, aucune attaque par force brute sur les liens de connexion.
- Aucune ingénierie sociale, aucun hameçonnage, aucun accès physique.
- Laissez-nous le temps de corriger avant de publier. Deux semaines après notre confirmation suffisent généralement.
- Ce que nous promettons
- Si vous suivez ces règles de bonne foi, nous n’engagerons pas de poursuites contre vous pour ces recherches, et ne vous signalerons pas aux autorités pour elles.
- Si quelqu’un d’autre conteste vos recherches sur ce site, nous dirons publiquement que vous aviez notre autorisation.
- Hors périmètre
- Les constats qui exigent un navigateur obsolète ou un appareil déjà compromis
- Les rapports d’outils d’analyse automatique sans démonstration fonctionnelle
- Les en-têtes de bonnes pratiques manquants sans effet démontré, les observations sur les limites de fréquence et les divulgations de version prises isolément
- Les problèmes dans les services tiers que nous utilisons, comme nos fournisseurs DNS ou de messagerie
Envoyez-nous votre questionnaire de sécurité.
Ou toute question sur cette page. Nous répondons sous un jour ouvré.