Posté le avril 22, 2020 à 11:02

LES PRINCIPAUX RISQUES DE SECURITÉ À PRENDRE EN COMPTE DANS LE CHOIX D’UN HEBERGEUR

Il existe des centaines d’articles en ligne sur ce qu’il faut rechercher dans un service d’hébergement. La plupart d’entre eux se concentrent sur les fonctionnalités dont vous avez besoin ou sur les raisons pour lesquelles l’hébergement gratuit est une mauvaise idée. Certains mentionnent la sécurité, mais ils ne sont pas très détaillés.

Nous pensons que la sécurité sur Internet est l’un des éléments les plus importants de votre expérience en ligne, que vous soyez propriétaire ou visiteur d’un site web. Nous allons donc nous pencher plus en profondeur sur les risques et les solutions de sécurité en matière de services d’hébergement.

Des statistiques sur l’hébergement et la sécurité que vous devez connaître

Si vous ne voulez pas que vos propres données ou celles de vos visiteurs se retrouvent sur le dark web, la sécurité est importante. Selon une enquête menée par Symantec, les cyberattaques ont augmenté de plus de 600 % par rapport à l’année précédente. Le FBI aux États-Unis signale que plus de 4 000 attaques par rançongiciel ou logiciel de rançon se produisent chaque jour. Bien que cette méthode d’attaque soit en légère baisse par rapport à l’année dernière, 40 % des entreprises prises en otage par les hackers paient.

Bien que 92 % des logiciels malveillants soient toujours transmis par des e-mails, 77 % des cyberattaques sont des attaques sans fichier.

Cela signifie que les cybercriminels sont de plus en plus sophistiqués dans leurs méthodes et moins enclins à se fier à quelqu’un qui tombe dans le piège des exploits traditionnels de l’hameçonnage. Cela signifie également qu’ils trouvent des moyens plus innovants pour garder une longueur d’avance sur les utilisateurs d’ordinateurs et les forces de l’ordre.

Alors que de plus en plus de personnes dépendent d’Internet pour leurs affaires et leurs loisirs, la portée des attaques s’élargit et nous sommes de plus en plus nombreux à être vulnérables aux violations de données et aux acteurs malveillants.

La gestion d’une petite entreprise implique de nombreuses pièces mobiles. La création d’une présence viable en ligne n’est plus un luxe, mais un coût supplémentaire pour faire des affaires. Plus de la moitié des attaques sont dirigées contre des petites entreprises parce qu’elles disposent de moins de ressources pour la prévention et l’atténuation. La dernière chose dont vous voulez vous préoccuper est de savoir si votre fournisseur d’hébergement est à la hauteur de la tâche de protéger vos données et vos visiteurs.

Les propriétaires de petites entreprises doivent également être conscients de la nécessité de protéger leurs finances. Lorsque vous choisissez un logiciel de comptabilité, assurez-vous qu’il offre une sécurité et une protection maximales. Cela inclut la messagerie cryptée et la connexion par authentification à double facteur.

Risques de sécurité et hébergement

Vous pensez peut-être que vous n’avez pas besoin de vous préoccuper autant de la sécurité. Après tout, vous êtes une PME avec moins de clients et de ressources que ces grandes entreprises. Voici un fait amusant : plus de la moitié des attaques se produisent contre les petites entreprises parce qu’elles ont moins de ressources pour les prévenir et les atténuer.

Cela signifie que, quel que soit votre niveau de risque, vous devez compter sur votre service d’hébergement pour vous fournir au moins une partie de la sécurité dont vous avez besoin.

Les principaux risques liés à l’hébergement sont les suivants :

* Problèmes d’accès au panel d’administration

* Spam

* Faiblesses dues à des temps d’arrêt excessifs

* Plugins et thèmes obsolètes ou non sécurisés

* Applications et plates-formes obsolètes

* Attaques par déni de service distribué (DDoS)

Voici ce que les services d’hébergement peuvent faire pour vous protéger contre ces menaces. Ils n’offrent pas tous ces protections en standard avec l’hébergement mutualisé, mais beaucoup le font. D’autres ne sont disponibles qu’en tant qu’option complémentaire ou avec des formules plus coûteuses.

Dans un rapport sur l’hébergement web rédigé par le service britannique de suivi des données d’hébergement, les données relatives au temps de fonctionnement pendant plus de 12 mois ont indiqué que les causes les plus fréquentes de l’arrêt d’un site web étaient les attaques par force brute automatisée et les attaques DDoS au niveau du serveur. Les hôtes dont les réseaux sont mal sécurisés ont subi 2 à 4 fois plus d’attaques.

Les PME devraient choisir d’utiliser des serveurs dédiés sécurisés pour éviter les attaques automatisées malveillantes qui peuvent affecter négativement le temps de connexion.

Vulnérabilités des systèmes d’exploitation et des plateformes

En général, vous avez la possibilité de choisir un système d’exploitation basé sur Windows ou Linux lorsque vous choisissez une plateforme d’hébergement. Chacune présente des avantages et des inconvénients en matière de sécurité.

Windows offre un contrôle d’accès par défaut, que vous reconfigurerez à vos risques et périls. Un spécialiste de la sécurité vous assistera également au cas où une violation nécessiterait une enquête. Toutefois, des protections aussi solides sont nécessaires en raison du nombre élevé d’attaques contre des sites fonctionnant sous le système d’exploitation Windows.

Linux offre moins de protocoles de sécurité par défaut, mais il comporte également un risque d’attaque plus faible en raison du nombre moins élevé d’utilisateurs. Le côté positif est que vous bénéficiez d’une plus grande flexibilité et d’un monde de support dans la communauté Linux/Open Source.

En plus de choisir le système d’exploitation adapté à votre matériel et à vos autres besoins, votre fournisseur d’hébergement doit inclure dans son service une surveillance du site et du réseau 24 heures sur 24 et 7 jours sur 7. Les bons hébergeurs offrent ce service gratuitement, même dans le cadre de plans de partage. Mon site professionnel est hébergé sur un plan d’hébergement WordPress géré, et toutes les fonctionnalités que je mentionne sont incluses dans mon service.

Mots de passe et accès utilisateur        

Non seulement il devrait y avoir des contrôles d’accès stricts pour accéder à votre compte et à votre tableau de bord, mais il devrait être facile pour vous de définir des autorisations basées sur des rôles administratifs et autres. Supprimez le mot « admin » de votre panel de connexion et suivez les meilleures pratiques de gestion des mots de passe.

Plugins et applications

Les plugins et les extensions permettent de développer facilement des sites web à partir de zéro sans avoir besoin de connaissances techniques approfondies. Ils sont également faciles à exploiter pour les hackers si vous ne les choisissez pas et ne les gérez pas judicieusement. WordPress n’a pas de support dédié mais il dispose d’une bibliothèque de plugins et de thèmes approuvés par des développeurs réputés.

Évitez autant que possible les bibliothèques d’applications publiques et tierces et assurez-vous de supprimer les plugins, thèmes et applications inutilisés plutôt que de simplement les désactiver. Si votre hébergeur ne fournit pas de mises à jour automatiques, vérifiez et installez manuellement les mises à jour et les correctifs dès que possible. Vous devez également supprimer le numéro de version de votre site web et de votre URL, et ne choisir que des plugins et des applications de développeurs très bien notés qui offrent une assistance supplémentaire. La plupart d’entre eux indiquent le nombre d’installations actives et les avis des utilisateurs directement sur la page de téléchargement.

Protection et suppression des logiciels malveillants

Découvrez ce que fait votre service d’hébergement pour vous protéger contre les fuites de DNS, les logiciels malveillants et les attaques extérieures par force brute. Ces attaques sont difficiles à arrêter une fois qu’elles sont en cours, c’est pourquoi la prévention est essentielle.

Ces protections sont généralement mises en évidence dans les caractéristiques de chaque plan. Si votre hébergeur potentiel ne répertorie pas d’outils et de protocoles de sécurité spécifiques pour la surveillance, la détection des menaces et la prévention quelque part sur son site web, et que vous ne pouvez rien obtenir de spécifique de la part du service clientèle, passez votre chemin.

SSL et pare-feu

La récente attaque de Capital One a été rendue possible par un pare-feu mal configuré qui a été exploité par un employé qui gérait leur plateforme d’hébergement. Vous ne pouvez pas faire grand-chose pour contrôler le personnel du fournisseur de services, mais votre hébergeur devrait au moins vous protéger à l’aide de pare-feu et de SSL pour faire savoir à vos visiteurs que votre site est validé et sécurisé contre les hackers qui cherchent à détourner les sessions des utilisateurs. Les meilleurs hébergeurs vous offriront gratuitement le SSL de base d’une société comme Let’s Encrypt et la possibilité de mises à niveau premium.

TLDR ? Voici une liste de contrôle de sécurité rapide

Avec un fournisseur d’hébergement sûr et fiable, vous n’êtes pas sans protection. Voici une liste des éléments à rechercher chez un hébergeur du point de vue de la sécurité.

1. Fonctions de sauvegarde et de restauration accessibles aux propriétaires/administrateurs du site
2. Surveillance du réseau 24 heures sur 24, 7 jours sur 7
3. Pare-feu et protection DDoS correctement configurés
4. Protection antivirus
5. FTP sécurisé (SFTP)
6. Sécurité interne, telle que KernelCare ou autre durcissement du serveur
7. Filtrage du spam
8. SSH/SSL
9. Restrictions d’accès
10. Panel avec cPHulk
11. Protection SQLi
12. Protection contre les fuites de DNS

Conclusions

Le choix d’un hébergeur peut être la décision la plus importante que vous aurez à prendre avant de lancer votre site web. Non seulement pour la fiabilité et la rapidité de la diffusion du contenu, mais aussi pour la sécurité supplémentaire qu’il apporte à une époque où les menaces et les accès se multiplient.

Notre objectif est de vous fournir les informations les plus récentes possibles sur les menaces auxquelles nous sommes tous confrontés et sur les mesures prises par les fournisseurs de services pour protéger votre entreprise et vous-même. Nous espérons que les informations que nous vous avons fournies vous donneront des points de réflexion supplémentaires lorsque vous chercherez le bon fournisseur d’hébergement et le bon plan pour votre site web.