Les attaquants visent rarement une petite entreprise en particulier. Ils cherchent des cibles faciles : mots de passe réutilisés, logiciels obsolètes, pages d’administration ouvertes. Faites ces dix choses et vous ne serez plus une cible facile.
011. Utilisez un gestionnaire de mots de passe
Un mot de passe long et unique pour chaque compte est impossible à retenir, alors laissez un gestionnaire de mots de passe s’en charger. Les mots de passe réutilisés sont la façon la plus courante de prendre le contrôle d’un compte.
022. Activez l’authentification à deux facteurs
Ajoutez une seconde étape à la messagerie, à la banque, à l’administration de votre site et à votre compte d’hébergement. Une application d’authentification ou une clé physique est plus solide que les SMS.
033. Gardez tout à jour
Systèmes d’exploitation, navigateurs, plateforme de votre site et ses extensions. Les anciens logiciels aux failles connues sont la porte qu’empruntent la plupart des attaques. Activez les mises à jour automatiques partout où c’est possible.
044. Sauvegardez, et testez la restauration
Conservez au moins trois copies, sur deux types de stockage différents, dont une copie hors ligne ou hors site. Une sauvegarde que vous n’avez jamais restaurée n’est qu’un espoir.
055. Protégez votre domaine de messagerie
Configurez SPF, DKIM et DMARC pour que personne ne puisse envoyer d’e-mails falsifiés en votre nom. Notre guide SPF, DKIM et DMARC expliqués vous accompagne pas à pas.
066. Corrigez les bases de votre site
HTTPS partout et les en-têtes de sécurité standard. Voir la liste de 9 en-têtes de sécurité.
077. Ne donnez aux gens que l’accès dont ils ont besoin
Tout le monde n’a pas besoin de droits d’administrateur. Utilisez des comptes séparés pour l’administration et le travail quotidien, et retirez l’accès le jour même du départ d’une personne.
088. Formez contre le phishing
La plupart des attaques commencent par un message convaincant. Apprenez à l’équipe à vérifier l’expéditeur, à survoler les liens et à confirmer les demandes inhabituelles de paiement ou de mot de passe par un second canal, comme un appel téléphonique.
099. Sachez ce qui est exposé
D’anciens sites de test, des panneaux d’administration oubliés et des serveurs de préproduction restent souvent en ligne pendant des années. Vérifiez quels noms d’hôte de votre domaine sont visibles de tous.
Exposition des sous-domaines
Quels noms de votre domaine sont publics, et lesquels plaisent aux attaquants.
1010. Rédigez un plan d’incident d’une page
Qui appelle-t-on, qui peut couper les systèmes, où sont les sauvegardes, qui parle aux clients. Dix minutes de préparation font gagner des heures quand quelque chose tourne mal.
À retenir
- Mots de passe, double authentification et mises à jour d’abord.
- Les sauvegardes ne comptent que si vous avez testé une restauration.
- Découvrez ce que votre domaine expose avant un attaquant.
Envie qu’on regarde le vôtre ? Écrivez-nous, nous serons ravis de vous aider.
Nous écrire