Sécurité comme hygiène, pas comme dôme parfait

La sécurité parfaite n'existe pas. L'hygiène quotidienne, oui.

Selon le Verizon Data Breach Investigations Report 2024, plus de 10 000 incidents de sécurité ont été analysés sur l'année, dont des milliers de breaches confirmées à travers tous les secteurs. Ce n'est pas une statistique de films catastrophe. C'est le bruit de fond permanent du web sur lequel tu déploies ton site, ton SaaS ou ta boutique d'infoproduit.

Dans la liste des organisations touchées figurent des noms qui ne devraient pas y être selon la logique du "dôme parfait" : Cloudflare en 2023, Microsoft en 2024, Okta en 2023. Des entreprises avec des équipes de sécurité de centaines de personnes, des budgets en centaines de millions de dollars, et des outils que tu ne pourras jamais te payer.

Alors quand quelqu'un te dit "protège-toi bien", tu vises quoi exactement ?

L'état du web : une surface d'attaque qui ne rétrécit pas

Chaque librairie que tu installes, chaque API tierce que tu branches, chaque service managé que tu délègues agrandit ta surface d'attaque. Ce n'est pas une métaphore — c'est littéralement le nombre de points d'entrée qu'un attaquant peut tenter.

Le MITRE CWE (Common Weakness Enumeration) publie chaque année son Top 25 des faiblesses logicielles les plus dangereuses. La liste 2024 est dominée par les mêmes familles de vulnérabilités qu'en 2020 : injection, mauvaise gestion de la mémoire, contrôle d'accès défaillant. Ce ne sont pas des problèmes nouveaux. Ce sont des problèmes que l'industrie n'a pas résolus malgré des décennies d'effort collectif.

Ce qui a changé, c'est la capacité d'exploitation. Les modèles de langage génératifs permettent aujourd'hui d'automatiser la recherche de vulnérabilités, de générer des variantes de payloads d'attaque, et d'accélérer la reconnaissance de cibles. Un attaquant seul avec des outils IA peut faire en quelques heures ce qui demandait une équipe il y a cinq ans. La démocratisation de l'attaque a précédé la démocratisation de la défense.

La bonne nouvelle : cette même accélération s'applique à la veille, aux correctifs, et à l'outillage défensif. La mauvaise : elle suppose que tu aies une routine. Sans routine, l'équilibre penche du mauvais côté.

Démontage du mythe de la forteresse

Regarde les trois incidents les plus commentés de ces deux dernières années.

Cloudflare, novembre 2023. Un attaquant a utilisé des credentials compromis lors du breach Okta pour accéder aux systèmes internes de Cloudflare. Il s'est promené plusieurs jours dans l'environnement avant d'être détecté. Cloudflare a publié un post-mortem détaillé et transparent — c'est une exception dans l'industrie. Retiens le fait, pas la communication : même l'entreprise qui vend de la sécurité comme produit principal s'est retrouvée latéralisée via un fournisseur tiers.

Okta, octobre 2023. Le gestionnaire d'identité de milliers d'entreprises a subi un accès non autorisé à son système de support client. Des fichiers contenant des données de session utilisateur ont été exfiltrés. Ce n'était pas une attaque de niveau nation-state sophistiquée. C'était de l'ingénierie sociale et de l'exploitation d'un accès support mal scoped.

Microsoft, janvier 2024. Le groupe Midnight Blizzard (attribué à des acteurs étatiques russes) a accédé à des boîtes mail d'executives Microsoft via une attaque sur un tenant de test non sécurisé. Un environnement de test, sans MFA, avec un accès OAuth trop large — c'est l'entrée. Microsoft l'a confirmé publiquement.

Trois entreprises. Trois vecteurs différents. Un point commun : aucune forteresse ne résiste à une chaîne de confiance brisée quelque part dans son périmètre étendu.

Si tu construis ta stratégie de sécurité autour de l'idée que tu peux tout bloquer, tu construis sur du sable. La question n'est pas "comment empêcher toute attaque ?" mais "comment minimiser l'impact quand ça arrive ?"

Reframe : la sécurité comme hygiène quotidienne

Voici l'analogie qui change tout.

Tu ne te laves pas les dents une fois pour la vie. Pas parce que c'est inefficace de le faire une fois — mais parce que la plaque dentaire repousse. L'environnement bacterial revient. Le corps humain est exposé en permanence à des agents pathogènes, et il y répond par une pratique quotidienne, pas par un blindage unique.

La sécurité informatique fonctionne exactement de la même façon.

Les nouvelles vulnérabilités (CVE) sont publiées quotidiennement. Les librairies évoluent. Les tokens expirent ou fuient. Les accès accordés s'accumulent. L'environnement change — et avec lui, la surface d'attaque. L'hygiène n'est pas un projet avec une date de fin. C'est une discipline.

Ce reframe a une conséquence concrète sur ton rapport à la sécurité : tu arrêtes de chercher à "finir" la sécurité. Il n'y a pas de ligne d'arrivée. Il y a une pratique que tu installes, que tu automatises, et que tu révisas périodiquement.

C'est moins glamour que "je suis secure". C'est infiniment plus honnête — et plus efficace.

La discipline remplace la forteresse. Et la discipline se construit par habitudes.

La grille MITRE et les 5 domaines Cyberviseur

MITRE ATT&CK est le référentiel mondial des techniques d'attaque informatique. Il documente 14 tactiques d'attaque — de la reconnaissance initiale (TA0043) à l'exfiltration (TA0010) et à l'impact (TA0040). L'article P-01-04 — Méthodologie MITRE ATT&CK en fait une exploration complète.

Ce qui compte à ce stade : tu n'as pas à bloquer toutes les techniques de toutes les tactiques. Tu as à élever le coût de chaque étape de la chaîne d'attaque qui te vise.

Un attaquant calcule un retour sur investissement. Si pirater ton infra coûte 40 heures à un acteur compétent pour un gain de 500 €, tu n'es pas une cible rentable. Si ça coûte 4 heures pour un gain de 5 000 € parce que tes secrets sont en clair et ton accès SSH sans MFA, tu es dans la liste.

L'objectif n'est pas l'invulnérabilité. C'est la non-rentabilité.

Pour atteindre cet objectif avec 20 % de l'effort et couvrir 80 % des menaces réelles, Cyberviseur structure la défense en 5 domaines :

Secret. Où vivent tes mots de passe machine (clés API, tokens, credentials de base de données) et comment ils sont rotés. Un secret en clair dans un .env versionné, c'est une porte ouverte à vie — l'historique Git ne s'efface pas.

Auth. Qui peut faire quoi sur ton système, avec quelle preuve d'identité. MFA, accès minimal, session courte, révocation rapide. L'Okta breach de 2023 est un cas d'école d'Auth insuffisant sur un accès tiers.

Zero-Trust. Pas de confiance par défaut, même entre tes propres services. Chaque service prouve son identité, chaque requête est validée, aucun accès n'est supposé légitime simplement parce qu'il vient de l'intérieur.

Secured-Run. L'hygiène quotidienne d'exploitation : patches, audits de dépendances, rotation de tokens, révision des accès. C'est le domaine le plus négligé — et celui qui couvre le plus de terrain si tu l'installes correctement.

Crisis. Le scénario où tout casse malgré l'hygiène, et tu sais quoi faire dans les 72 heures. Plan de réponse à incident, backup testé, contact de communication interne, décision de notification. L'ANSSI publie ses 42 règles d'hygiène informatique — la section sur la gestion des incidents est un point de départ solide.

Ces 5 domaines ne sont pas des projets à finir. Ce sont des axes de discipline permanente.

La routine d'hygiène mensuelle

Voici la checklist minimale. Elle prend entre 30 minutes et 2 heures selon la taille de ton infra. Elle te place statistiquement dans le quintile supérieur de l'hygiène sécurité parmi les créateurs et founders indépendants.

Une fois par mois :

• Lancer npm audit (ou l'équivalent de ton stack) et traiter les vulnérabilités HIGH et CRITICAL — pas de report sine die
• Vérifier les mises à jour système sur ton VPS (apt update && apt list --upgradable si tu tournes sous Debian/Ubuntu)
• Roter les clés API des services critiques (Stripe, mailing, base de données) — même sans incident connu
• Ouvrir tes audit logs et chercher des patterns anormaux : tentatives de connexion en dehors de tes horaires habituels, IP géographiquement incohérentes, endpoints jamais appelés en production qui reçoivent du trafic
• Tester une restore depuis ton dernier backup — pas vérifier qu'il existe, le restaurer dans un environnement de test et valider que les données sont cohérentes
• Révoquer les accès inactifs — le freelance du mois dernier, le compte de test que tu avais créé, l'intégration qui n'est plus en production

Une fois par trimestre :

• Relire la liste de tes services tiers connectés et leurs permissions : est-ce que chacun a toujours besoin de cet accès, à cette granularité ?

Cette liste n'est pas exhaustive. C'est le plancher. En dessous de ce plancher, tu accumules de la dette de sécurité sans le voir — jusqu'à l'incident.

En résumé

La sécurité parfaite n'existe pas. Google, Microsoft, Cloudflare en font la démonstration chaque année. Construire ta stratégie autour de l'idée d'un dôme inviolable, c'est construire sur une illusion.

Ce qui existe, c'est l'hygiène. Des pratiques régulières, calibrées sur les menaces réelles que tu vises, appliquées avec la même régularité que tu te laves les dents. Pas de ligne d'arrivée. Une discipline.

Les 5 domaines Cyberviseur (Secret, Auth, Zero-Trust, Secured-Run, Crisis) donnent la structure. La checklist mensuelle donne le rythme. MITRE ATT&CK donne la grille de lecture pour comprendre ce que tu cherches à élever en coût.

Le reste, c'est de l'exécution.

Suite logique : P-01-08 — Secrets : empêcher la latéralisation →

Les secrets sont la première brique d'hygiène concrète — et le vecteur d'entrée le plus fréquent sur les infras de créateurs et founders indépendants. Si tu n'as pas encore de coffre à secrets, c'est l'article à lire immédiatement après.

Passer à l'action : Bundle B01 Foundation — 97 € — 5 toolkits qui posent la base technique de l'hygiène : VPS hardened, DNS+TLS, Next.js sécurisé, repo+auto-deploy, secrets Infisical.

Voir comment chaque toolkit implémente l'hygiène : la rotation TLS automatique et l'alerte 30 jours dans T-01-02 DNS+TLS ; le pinning par SHA, le gitleaks pre-commit et la rotation webhook 90j dans T-01-04 GitHub+Coolify ; la rotation dual-key zero-downtime et l'audit log machine dans T-01-05 Secrets Infisical.

Commencer par les secrets ? T-01-05 — Secrets Infisical — 97 € — la première brique d'hygiène concrète, applicable en une demi-journée sur une infra existante.

Cet article est gratuit et fait partie de la phase 01 du parcours Cyberviseur. Si tu veux être prévenu·e quand les autres modules sortent, inscris-toi à la newsletter — un email tous les 15 jours, jamais de spam, désinscription en un clic.