La sécurité, par défaut — jamais en option
Je ne facture pas la sécurité comme une rallonge en fin de projet : elle est intégrée dès la conception de tout ce que je livre. Voici, concrètement, ce que je mets en place — et pour chaque point, un lien pour comprendre de quoi il s'agit, en clair.
-
Chiffrement de bout en bout
Tout transite en HTTPS : les informations échangées entre vos visiteurs et le site sont chiffrées, illisibles pour un tiers. C'est la base, je ne livre jamais sans.
-
Serveur durci
Je verrouille le serveur : accès restreint, comptes au strict nécessaire, services inutiles coupés. Moins il y a de portes, moins il y a d'entrées pour un attaquant.
-
Pare-feu + anti-brute-force
Seuls les accès utiles sont ouverts, et les tentatives d'intrusion répétées sont bannies automatiquement. Un serveur exposé est attaqué en permanence — je pars du principe qu'il l'est.
-
Cloudflare en frontal
Un pare-feu applicatif et une protection anti-déni-de-service filtrent le trafic hostile avant même qu'il atteigne votre site. L'essentiel des attaques automatiques est arrêté en amont.
Pare-feu applicatif (WAF) › Attaque par déni de service (DDoS) ›
-
En-têtes de sécurité stricts
Je configure le navigateur de vos visiteurs pour qu'il bloque les injections de code et l'usurpation de votre site. Une couche de défense invisible mais décisive.
Content Security Policy (CSP) › HSTS › Injection de scripts (XSS) › Détournement de clic (clickjacking) ›
-
Secrets isolés
Mots de passe hachés (jamais stockés en clair), clés et accès sensibles tenus hors du code et de tout dépôt. Même en cas de fuite du code, vos secrets ne suivent pas.
-
Sauvegardes chiffrées
Des copies régulières et chiffrées de vos données. Et parce qu'une sauvegarde ne vaut que si on peut la remonter, je vérifie qu'une restauration fonctionne — pas seulement qu'elle s'exécute.
-
Services isolés (Docker)
Chaque service tourne cloisonné dans son conteneur. Un problème sur l'un n'ouvre pas l'accès au reste — le tout reste rangé, reproductible et maîtrisé.
Tous ces termes sont expliqués simplement dans mon glossaire de la sécurité web.