Sécurité
Hardening général, réaction à un site compromis, bonnes pratiques.
Activer la 2FA partout : Plesk, SSH, WordPress, Nextcloud
Un mot de passe ne suffit plus. Voici comment activer l'authentification à deux facteurs sur tous les accès sensibles (Plesk, SSH, WordPress, Nextcloud, Mailcow, espace client Datacampus) avec des apps TOTP open source, et comment gérer les recovery codes pour ne pas vous verrouiller dehors.
RGPD minimum viable pour un site : ce qu'il faut faire, pas plus
Le socle RGPD pragmatique pour une PME ou une agence web : mentions légales, politique de confidentialité, bandeau cookies, registre simplifié, contrats sous-traitants, sans se noyer dans la complexité.
Audit de sécurité rapide d'un site : checklist 30 minutes
Avant livraison client ou en audit annuel : une checklist pragmatique en 10 blocs pour détecter les vulnérabilités évidentes d'un site WordPress hébergé sous Plesk, sans y passer la journée.
Chiffrer ses backups : age, GPG, et chiffrement côté S3
Trois niveaux de chiffrement pour un backup (transit, repos, côté client), trois outils qui couvrent 99 % des cas (age, GPG, restic), et surtout comment ne pas perdre la clé le jour où vous en aurez besoin.
Hardening général : les essentiels
Checklist de durcissement : principes (moindre privilège, defense in depth, MAJ), comptes (MDP forts, 2FA), site (HTTPS, HSTS, CSP, cookies), serveur (fail2ban, SSH, WAF) et audit continu.
Incident de sécurité : que faire les 4 premières heures
Runbook minute par minute pour réagir à un site compromis, une redirection suspecte ou une alerte Google « site trompeur » : préserver les preuves, isoler, couper les accès, diagnostiquer, notifier, nettoyer.
Logs et rétention : quoi garder, combien de temps, où
Les logs sont le seul témoin d'un incident. Cette doc couvre les 4 familles qui comptent, les durées de rétention conformes RGPD, où les stocker, et quelques commandes utiles pour les lire vite.
Mon site est hacké : que faire ?
Procédure de réponse à incident quand votre site est compromis : détection, confinement, scan, nettoyage, restauration et post-mortem. Les bons réflexes et les pièges à éviter.
Sauvegardes : la règle du 3-2-1 en pratique
Trois copies, deux supports, une hors site. La règle tient en trois chiffres, mais c'est encore le meilleur garde-fou contre un ransomware, un incendie, ou une mise à jour WordPress qui tourne mal. Guide concret pour un client Datacampus.
Scanner les vulnérabilités d'un site sans payer : outils open source
WPScan, Nikto, nuclei, Trivy, Lynis, testssl.sh, gitleaks, Mozilla Observatory, OWASP ZAP : la trousse de scan gratuite qui couvre 80 % des failles connues d'un site en moins d'une heure.
Secrets et .env : ne jamais les commiter (et purger l'historique si c'est déjà fait)
Clés API, mots de passe BDD, tokens Stripe, credentials SMTP : un seul commit maladroit suffit à tout faire fuiter. Comment protéger ses secrets en amont, scanner avant de pousser, et purger l'historique git quand le mal est déjà fait.
WAF : ModSecurity (Plesk) ou Cloudflare, que choisir ?
Comparatif opérationnel entre ModSecurity intégré à Plesk et le WAF Cloudflare : ce que chacun filtre vraiment, où le placer dans votre stack, combien ça coûte et comment les combiner sans se tirer une balle dans le pied.