POUR LES PETITES ENTREPRISES ET LES FONDATEURS
Un badge de sécurité gratuit pour votre site
Liaison contrôle votre site depuis l’extérieur chaque semaine, comme le voit le navigateur de n’importe quel visiteur. S’il réussit, vous obtenez un badge pour votre site. Vos clients cliquent dessus et lisent, en mots simples, ce qui a été contrôlé et ce que cela veut dire pour eux.
- Indiquez votre site et votre e-mail professionnel ci-dessous.
- Cliquez sur le lien que nous vous envoyons. Si votre e-mail est sur le domaine de votre site, c’est la preuve que le site est à vous. Rien à installer.
- Dans l’heure, Liaison vous envoie le résultat : votre badge et le code à coller (où le coller), ou une courte liste de ce qu’il faut corriger d’abord.
Demander le badge
Ce que le badge contrôle
- HTTPS. Le site est chiffré, et http:// renvoie les visiteurs vers https://.
- HSTS. Les navigateurs doivent toujours utiliser la version chiffrée.
- Fichiers exposés. Aucun code, mot de passe ou sauvegarde (.git, .env, backup.zip et autres) ne peut être téléchargé depuis le site.
- Usurpation d’e-mail. Des enregistrements SPF et DMARC empêchent d’autres d’envoyer des e-mails en votre nom.
- En-têtes de sécurité. Content-Security-Policy, nosniff, protection contre l’intégration et Referrer-Policy.
- Cookies. Envoyés en HTTPS uniquement, avec SameSite, et les cookies de connexion cachés aux scripts de la page.
- Contenu mixte. Rien sur la page d’accueil ne se charge en http:// simple.
- Scripts externes. Les scripts d’autres sites portent une empreinte d’intégrité.
- Bannières de version. Le serveur n’annonce pas les versions de ses logiciels.
- Listes de dossiers. Les dossiers comme /uploads/ n’affichent pas leurs fichiers.
- Certificat. Encore plus de deux semaines avant son expiration.
- Version du chiffrement. Seul TLS 1.2 ou plus récent est accepté.
- Ports de bases de données. MySQL, PostgreSQL, MongoDB, Redis, Elasticsearch et le bureau à distance ne répondent pas depuis Internet.
- security.txt. Un contact publié pour signaler un problème de sécurité.
- DNSSEC. Les réponses DNS du site sont signées.
- CAA. Un enregistrement DNS indique qui peut émettre ses certificats.
- Chiffrement des e-mails. MTA-STS et les rapports TLS sont en place, et les serveurs de messagerie proposent STARTTLS.
- Domaine. Réservé pour plus de 30 jours encore.
- WordPress. La dernière version, si le site l’utilise.
Les trois premiers sont nécessaires pour le badge. Chacun des autres qui réussit ajoute une coche sur la page de votre badge.
Ce qu’est le badge
Il indique qu’à une date donnée votre site a réussi les contrôles ci-dessus, et il est contrôlé à nouveau chaque semaine. Si le site ne réussit plus, nous vous prévenons d’abord, et après trois contrôles ratés de suite le badge devient gris de lui-même. Il ne peut pas être copié sur un autre site : il affiche votre domaine et sa page se trouve sur liaison.vision.
Pourquoi le mettre sur votre site
Un visiteur qui ne connaît pas votre entreprise décide en quelques secondes s’il tape un numéro de carte ou une adresse sur votre site. Le badge lui donne quelque chose à consulter avant.
PLUS ENCLINS À FAIRE CONFIANCE À UN SITE QUI AFFICHE UN BADGE CONTRÔLÉ PAR UN TIERS
L’inverse coûte des ventes. Un acheteur en ligne sur cinq a déjà abandonné un paiement parce qu’il ne faisait pas confiance au site avec sa carte.
POURQUOI DES ACHETEURS ONT ABANDONNÉ UN PAIEMENT
Les gros clients contrôlent désormais leurs fournisseurs, parce que de plus en plus d’attaques passent par l’un d’eux. Un contrôle hebdomadaire que tout le monde peut consulter, c’est une réponse prête quand un client vous demande comment vous gérez la sécurité.
VIOLATIONS DE DONNÉES PASSÉES PAR UN FOURNISSEUR OU UN PARTENAIRE
Demander le badge. C’est gratuit.