Un outillage d’audit : méthodologie, scripts de reconnaissance, référentiel de vulnérabilités par produit, gabarits de livrables et suivi des correctifs. Il sert mes audits de sécurité et mes audits d’infrastructure. Non publié — il contient la matière de campagnes réelles.
Pourquoi un outillage plutôt qu’une méthode
Un audit mené à la main donne un rapport. Il ne donne rien de plus : six mois plus tard, personne ne sait ce qui a été corrigé, et le suivant repart de zéro. Ce qui manque n’est pas la compétence, c’est la trace — un état de départ daté, des constats numérotés, et de quoi rejouer exactement les mêmes contrôles.
Ce que contient l’outillage
- Une reconnaissance scriptée — DNS, sous-domaines, en-têtes HTTP, et des sondes propres à chaque applicatif (WordPress, Dolibarr, PrestaShop…). Toujours les mêmes contrôles, dans le même ordre : c’est ce qui rend deux audits comparables.
- Un référentiel par produit — ce qui casse habituellement sur PrestaShop, Dolibarr, WordPress, Nextcloud, Rocket.Chat, Roundcube, Symfony. Un défaut trouvé chez un client devient un contrôle systématique chez les suivants.
- Des gabarits de livrables — état de départ, constats, rapport client. Le constat porte sa gravité, sa preuve et sa remédiation, pas une appréciation.
- Des correctifs prêts à poser — durcissement Apache et Nginx, en-têtes de sécurité, SPF, DKIM, DMARC, CAA. Un audit qui ne propose pas le correctif laisse le travail à quelqu’un d’autre.
- Le retest avec différentiel — rejouer la campagne et montrer ce qui a bougé depuis la précédente. C’est la seule preuve qu’un audit a servi.
Les audits d’infrastructure
Le même socle sert aux audits comparatifs : choisir un hébergeur, du matériel, une brique logicielle. Chaque domaine y est décrit par ses critères, et la comparaison porte sur des mesures, pas sur des plaquettes commerciales.
Ce qui reste chez le client
La méthode, les scripts et le référentiel sont mutualisés. Les données d’audit — relevés, constats, rapports — ne le sont jamais : elles restent cloisonnées par client, et ne sortent pas de son périmètre. Ce qui circule d’un audit à l’autre, c’est le contrôle, pas ce qu’il a trouvé chez quelqu’un d’autre.
La partie observation s’appuie sur Atlas, qui détient l’accès aux machines : l’outil d’audit demande, il ne se connecte pas.
- LinuxLe noyau et l'écosystème sur lesquels tout le reste repose.
- ApacheServeur web ; celui qui sert la plupart des sites hébergés.
- NginxServeur web et proxy inverse, sur les charges qui s'y prêtent mieux.
- WordPressCMS pour les sites de contenu ; celui qui sert cette page.
- DolibarrERP/CRM open source : devis, commandes, factures, stocks, projets.
- PrestaShopBoutique en ligne open source, synchronisée avec l'ERP.
- NextcloudFichiers partagés, agendas et contacts, hébergés chez vous.
- Rocket.ChatMessagerie interne d'équipe, auto-hébergée.
- SymfonyFramework PHP, pour les applications sur mesure structurées.
- PythonScripts d'administration et outillage.
Les prestations concernées : Sites web (audit et reprise) et Infrastructure & hébergement. Le métier : Hébergement & infogérance.