Sécurité

Cybermalveillance.gouv.fr est le dispositif national d'assistance aux victimes de cybermalveillance, de prévention et de sensibilisation aux risques numériques. Il accompagne les particuliers, les entreprises et les administrations. Le site aide à identifier le problème, donne des conseils adaptés, oriente vers les services compétents et met en relation avec des professionnels référencés. Il ne remplace pas un dépôt de plainte.

Lire la réponse complète : À quoi sert cybermalveillance.gouv.fr ?

Une simulation de phishing consiste à envoyer aux salariés de faux e-mails piégés, réalistes mais inoffensifs, pour mesurer qui clique, qui saisit ses identifiants et qui signale le message. Elle sert à entraîner les réflexes en situation réelle, à repérer les sujets à retravailler et à suivre les progrès dans le temps. Elle doit déboucher sur une explication, pas sur une sanction.

Lire la réponse complète : À quoi sert une simulation de phishing ?

Les en-têtes de sécurité HTTP sont des instructions envoyées par le serveur au navigateur pour restreindre ce qu'une page a le droit de faire. Ils imposent la connexion chiffrée, limitent les scripts autorisés, empêchent l'affichage du site dans un cadre étranger et réduisent les informations transmises aux tiers. Ils se règlent côté serveur, sans modifier le site.

Lire la réponse complète : À quoi servent les en-têtes de sécurité HTTP ?

Un numéro affiché peut être falsifié et une voix peut être imitée à partir de quelques extraits publics. Aucune de ces deux preuves ne vaut confirmation. La règle est de raccrocher et de rappeler la personne ou le service sur un numéro que vous connaissez déjà, jamais sur celui qui vous est fourni pendant l'appel.

Lire la réponse complète : Appel frauduleux et voix imitée : comment vérifier ?

L'arnaque au président consiste à se faire passer pour un dirigeant afin d'obtenir un virement urgent et secret, souvent présenté comme une opération confidentielle. Elle exploite l'autorité et l'urgence, pas une faille technique. La parade tient en trois règles : aucune exception à la procédure de paiement, contre-appel sur un numéro déjà connu, et validation par deux personnes.

Lire la réponse complète : Arnaque au président : comment couper court ?

Avant de signer, vérifiez ce qui est couvert au-delà des dommages financiers : assistance technique en urgence, frais de remise en état, pertes d'exploitation, frais de notification et d'accompagnement juridique. Lisez les exclusions et les obligations à votre charge, souvent contraignantes : mesures de sécurité déclarées, dépôt de plainte, délais de déclaration prévus au contrat.

Lire la réponse complète : Assurance cyber : que vérifier dans le contrat ?

Un audit technique examine six familles de points : la surface exposée sur Internet, la configuration du serveur et du chiffrement, le code et ses dépendances, la gestion des comptes et des sessions, la protection des données et des sauvegardes, enfin les journaux et la surveillance. Chaque constat est décrit, classé par gravité, puis associé à une correction concrète.

Lire la réponse complète : Audit d'un site : quels points sont contrôlés ?

Le chiffrement en transit protège les données pendant leur circulation entre le visiteur et le serveur. Le chiffrement au repos protège celles qui sont stockées sur les disques et dans les sauvegardes. Les deux sont complémentaires : le premier écarte l'interception, le second limite les conséquences d'un vol de support. Aucun ne protège une application déjà compromise.

Lire la réponse complète : Chiffrement au repos et en transit : la différence

Pour activer la double authentification, ouvrez les paramètres de sécurité du compte, choisissez « validation en deux étapes » et associez une seconde méthode : application d'authentification, clé de sécurité ou, à défaut, SMS. Rangez les codes de secours hors du compte. Commencez par la messagerie, qui permet de réinitialiser les autres accès, puis l'hébergeur, la banque et les outils d'administration.

Lire la réponse complète : Comment activer la double authentification ?

Une intrusion se détecte par des écarts avec le fonctionnement habituel : fichiers modifiés sans déploiement, comptes ou tâches planifiées inconnus, processus inhabituels, trafic sortant anormal, pics de charge inexpliqués. Les repérer suppose de connaître l'état normal du serveur, de surveiller l'intégrité des fichiers et de consulter les journaux régulièrement plutôt qu'après coup.

Lire la réponse complète : Comment détecter une intrusion sur un serveur ?

Un exercice de crise cyber réunit autour d'une table les personnes qui décideront le jour venu, autour d'un scénario réaliste annoncé à l'avance. Deux heures suffisent pour la première fois. On n'y teste pas des compétences techniques, mais la circulation de l'information, les décisions et les moyens de communication de secours. Chaque écart constaté devient une action à corriger.

Lire la réponse complète : Comment entraîner sa cellule de crise cyber ?

Pour isoler un poste suspect, débranchez le câble réseau et coupez le Wi-Fi, retirez les supports externes, puis laissez la machine allumée si une analyse est prévue : sa mémoire contient des traces utiles. Ne la reconnectez pas pour vérifier quelque chose, ne la nettoyez pas vous-même, et notez l'heure exacte de chaque action.

Lire la réponse complète : Comment isoler un poste infecté sans tout casser ?

Pour limiter les tentatives de connexion, combinez une temporisation qui augmente après chaque échec, un blocage temporaire de l'adresse d'origine, une vérification supplémentaire au-delà d'un certain nombre d'essais, et une alerte pour les comptes visés. Ces mesures doivent freiner les essais automatisés sans permettre à un tiers de bloquer volontairement vos utilisateurs.

Lire la réponse complète : Comment limiter les tentatives de connexion ?

Une fiche réflexe tient sur une page imprimée et répond à trois questions : que faire tout de suite, qui prévenir, et ce qu'il ne faut surtout pas faire. Elle contient les numéros directs, les références de contrat et le nom des personnes qui décident. Rangez-la hors des systèmes informatiques, affichée près des postes et dans le classeur de crise.

Lire la réponse complète : Comment préparer une fiche réflexe cyberattaque ?

Informez vos clients dès que l'incident présente un risque élevé pour eux : le RGPD l'impose alors, dans les meilleurs délais et en termes clairs. Le message dit ce qui s'est passé, quelles données sont concernées, les conséquences possibles, ce que vous avez fait et ce qu'ils doivent faire. Utilisez un canal direct, sans lien cliquable, et donnez un contact joignable.

Lire la réponse complète : Comment prévenir ses clients après un incident ?

Pour protéger une page d'administration, restreignez son accès à des adresses connues ou à un tunnel chiffré, imposez la double authentification, donnez à chaque personne un compte nommé avec les droits minimaux, empêchez l'indexation de la page par les moteurs et surveillez les connexions. Déplacer l'adresse de la page est un complément utile, jamais une protection à elle seule.

Lire la réponse complète : Comment protéger la page d'administration ?

Un e-mail de phishing se reconnaît à cinq signaux : une urgence inattendue, une adresse d'expéditeur légèrement différente de l'habituelle, un lien dont la vraie destination ne correspond pas à l'organisation citée, une pièce jointe que vous n'attendiez pas, et une demande inhabituelle comme un changement de coordonnées bancaires. En cas de doute, ne cliquez pas et signalez le message.

Lire la réponse complète : Comment reconnaître un e-mail de phishing ?

La reprise se fait dans un ordre choisi, pas dans l'urgence. Corrigez d'abord la cause, changez les mots de passe, puis remettez en service les activités par ordre de priorité, à partir de systèmes réinstallés et de sauvegardes antérieures à l'incident. Surveillez de près les semaines suivantes : une reconnexion trop rapide ramène souvent le problème.

Lire la réponse complète : Comment reprendre l'activité après une attaque ?

Pour savoir si une adresse figure dans une fuite, interrogez un service de vérification reconnu, activez les alertes de votre navigateur et de votre gestionnaire de mots de passe, et faites surveiller l'ensemble des adresses de votre nom de domaine. Une adresse présente dans une fuite ne signifie pas que le compte est piraté : changez le mot de passe concerné et activez la double authentification.

Lire la réponse complète : Comment savoir si ses adresses e-mail ont fuité ?

Pour sécuriser un formulaire, contrôlez chaque donnée côté serveur, utilisez des requêtes préparées pour la base de données, échappez les contenus avant de les afficher, ajoutez un jeton anti-CSRF et limitez le nombre d'envois. Contre le spam, combinez un champ piège invisible et une limitation de débit avant d'imposer un CAPTCHA. Transmettez tout en HTTPS et ne collectez que les données nécessaires.

Lire la réponse complète : Comment sécuriser les formulaires de son site web ?

Sécuriser ses sauvegardes suppose de les isoler du système sauvegardé, avec des identifiants distincts, d'en conserver une copie non modifiable ou déconnectée, de les chiffrer si elles quittent vos locaux, de restreindre qui peut les consulter ou les supprimer, et de vérifier régulièrement qu'une restauration complète fonctionne réellement.

Lire la réponse complète : Comment sécuriser ses sauvegardes ?

Pour sécuriser un site WordPress, appliquez rapidement les mises à jour du cœur, du thème et des extensions, supprimez les composants inutilisés et n'installez rien hors des sources officielles. Protégez les comptes administrateurs par des mots de passe uniques et la double authentification. Conservez des sauvegardes externes testées, choisissez un hébergement maintenu et surveillez les modifications de fichiers.

Lire la réponse complète : Comment sécuriser un site WordPress ?

Sécuriser une API suppose d'authentifier chaque appel, de vérifier les droits sur chaque objet demandé et pas seulement à l'entrée, de chiffrer les échanges, de limiter le nombre d'appels par client, de valider les données reçues et de journaliser les accès. Les clés doivent être propres à chaque application et révocables à tout moment.

Lire la réponse complète : Comment sécuriser une API web ?

Pour sensibiliser vos salariés à la cybersécurité, préférez des formats courts et réguliers à une formation annuelle : ateliers pratiques, fiches réflexes, simulations de phishing et module d'accueil des nouveaux arrivants. Traitez les situations qu'ils rencontrent vraiment, comme les faux e-mails ou les demandes de virement urgentes. Mesurez surtout la progression des signalements, sans chercher de coupables.

Lire la réponse complète : Comment sensibiliser ses salariés à la cybersécurité ?

Pour vérifier le certificat HTTPS de votre site, cliquez sur l'icône à gauche de l'adresse dans le navigateur, puis affichez le certificat. Contrôlez trois informations : le domaine couvert, avec et sans « www », l'émetteur et la date d'expiration. Vérifiez ensuite que le renouvellement est automatique, que personne n'ignore ses échecs et qu'aucun contenu n'est chargé en HTTP simple.

Lire la réponse complète : Comment vérifier le certificat HTTPS de son site ?

Si votre messagerie est piratée, changez le mot de passe depuis un appareil sain, déconnectez toutes les sessions ouvertes, puis activez la double authentification. Vérifiez ensuite les règles de transfert automatique, les adresses de récupération et les applications autorisées : ce sont les portes que l'attaquant laisse derrière lui. Prévenez enfin vos correspondants et votre support informatique.

Lire la réponse complète : Compte de messagerie piraté : que faire d'abord ?

Appliquer les correctifs à temps suppose trois choses : un inventaire de ce que vous utilisez, une veille sur les annonces de failles, et des délais fixés selon la gravité. Un correctif critique sur un système exposé à Internet se traite en quelques jours, voire plus vite. Les autres suivent un rythme planifié, après test sur un environnement séparé.

Lire la réponse complète : Correctifs de sécurité : comment les appliquer à temps ?

Conservez les journaux de connexion, les messages reçus avec leurs en-têtes, les captures d'écran, les fichiers chiffrés et une copie des systèmes touchés avant toute réinstallation. Déposez plainte auprès de la police ou de la gendarmerie, par le représentant légal ou une personne mandatée. La plainte sert aussi pour l'assurance, pour les partenaires et pour l'analyse du phénomène.

Lire la réponse complète : Cyberattaque : porter plainte et garder les preuves

Une attaque par déni de service cherche à rendre un site indisponible en le saturant de requêtes. La protection combine une capacité d'absorption en amont du serveur, une mise en cache des pages, une limitation du débit par origine, et un hébergement dimensionné. Aucune mesure ne rend un site insubmersible : prévoir la procédure et le contact de l'hébergeur compte autant.

Lire la réponse complète : Déni de service : comment protéger son site ?

Les dépendances sont les composants écrits par des tiers et réutilisés dans votre site : extensions, thèmes, bibliothèques, scripts chargés depuis un autre domaine. Il faut les recenser, vérifier qu'ils sont encore maintenus, suivre les annonces de failles les concernant, retirer ceux qui ne servent plus et limiter les scripts externes chargés dans les pages.

Lire la réponse complète : Dépendances : que faut-il surveiller sur son site ?

Faire tester son site par un tiers demande quatre choses : choisir le type d'intervention adapté, définir par écrit le périmètre et les dates, signer une autorisation avec un engagement de confidentialité, puis réserver du temps pour appliquer les corrections et les faire contre-vérifier. Prévoyez aussi un moyen simple de signaler une faille en dehors de tout test.

Lire la réponse complète : Faire tester son site par un tiers : comment faire ?

Un faux SMS imite un transporteur, une administration ou une banque pour vous faire saisir vos coordonnées sur une fausse page. Un QR code piégé mène au même type de page, mais sans laisser voir l'adresse. La règle est identique : ne cliquez pas, ne scannez pas un code collé en extérieur, et rejoignez le service par son adresse habituelle ou son application officielle.

Lire la réponse complète : Faux SMS et QR codes piégés : comment réagir ?

L'arnaque au faux support technique commence par une alerte alarmante affichée à l'écran ou par un appel se disant émis par un éditeur connu. L'escroc fait installer un outil de prise en main à distance, puis réclame un paiement. Aucun éditeur n'appelle spontanément pour signaler une infection : raccrochez, fermez la fenêtre et ne rappelez jamais le numéro affiché.

Lire la réponse complète : Faux support technique : comment reconnaître l'arnaque ?

La fraude au faux fournisseur consiste à se faire passer pour un fournisseur, par e-mail ou par téléphone, pour obtenir le paiement d'une facture sur un autre compte bancaire. Pour s'en protéger, vérifiez toute demande de changement de coordonnées bancaires par un appel au numéro déjà connu. Si un virement frauduleux est parti, appelez votre banque immédiatement, puis déposez plainte.

Lire la réponse complète : Fraude au virement, faux fournisseur : comment réagir ?

Une injection se produit quand une donnée envoyée par un visiteur est interprétée comme une instruction par le site. Elle permet de lire ou de modifier des informations qui devraient rester hors d'atteinte. La protection repose sur trois règles : séparer le code des données par des requêtes préparées, contrôler chaque entrée côté serveur, et échapper tout ce qui est réaffiché.

Lire la réponse complète : Injection : pourquoi filtrer les données reçues ?

Ne branchez jamais une clé USB trouvée, reçue sans raison ou offerte par un inconnu. Un simple branchement peut suffire à lancer un programme ou à faire passer l'appareil pour un clavier qui tape des commandes à votre place. Remettez l'objet au support informatique, ou détruisez-le. La curiosité est précisément ce sur quoi ce piège compte.

Lire la réponse complète : J'ai trouvé une clé USB : faut-il la brancher ?

Un journal enregistre les événements d'un système : connexions, erreurs, actions sensibles. Chaque entrée doit indiquer la date précise, le compte concerné, l'action, l'origine de la demande et son résultat. Les mots de passe et les données sensibles n'y figurent jamais. La durée de conservation se définit à l'avance, en conciliant besoin d'investigation et limitation des données personnelles.

Lire la réponse complète : Journaux : quoi enregistrer et combien de temps ?

Les erreurs les plus coûteuses sont commises dans les premières heures : effacer avant d'avoir copié, réinstaller sans avoir identifié la faille, restaurer une sauvegarde déjà atteinte, oublier de changer les identifiants des prestataires, et attendre pour informer les clients. Chacune se prévient par un geste simple, décidé à froid plutôt que dans l'urgence.

Lire la réponse complète : Les erreurs fréquentes après une cyberattaque

Deux situations très différentes se ressemblent. Si les messages apparaissent dans vos éléments envoyés, votre compte est piraté : changez le mot de passe et fermez les sessions. S'ils n'y figurent pas, votre adresse est seulement affichée comme expéditeur par un tiers : le compte n'est pas compromis, et la réponse passe par l'authentification de votre nom de domaine.

Lire la réponse complète : Ma boîte mail envoie des messages à ma place : pourquoi ?

Si un mot de passe apparaît dans une fuite, changez-le immédiatement sur le service concerné, puis partout où vous l'aviez réutilisé. Déconnectez les sessions actives et activez la double authentification. Ne payez jamais un message de chantage qui cite un ancien mot de passe : il provient presque toujours d'une base publiée, sans accès réel à vos appareils.

Lire la réponse complète : Mon mot de passe est dans une fuite : que faire ?

Si votre site a été piraté, agissez dans cet ordre : mettez-le en maintenance, conservez une copie des fichiers et des journaux, changez tous les mots de passe liés, identifiez la faille, restaurez une sauvegarde antérieure à l'intrusion puis appliquez les mises à jour. Si des données personnelles ont pu être exposées, évaluez l'obligation de notifier la CNIL dans les 72 heures.

Lire la réponse complète : Mon site a été piraté : que faire ?

Pour protéger les comptes de l'entreprise, trois habitudes suffisent à réduire fortement le risque : un mot de passe différent et long pour chaque service, un gestionnaire de mots de passe pour les retenir, et la double authentification sur les comptes critiques, en commençant par la messagerie, les comptes d'administration, la banque et les logiciels contenant des données clients.

Lire la réponse complète : Mots de passe et double authentification : que faire ?

Séparer la préproduction de la production permet de tester une modification sans toucher au site utilisé par vos visiteurs. Les deux environnements doivent avoir des accès, des secrets et des bases de données distincts. La préproduction ne doit pas être accessible publiquement ni indexée, et les données réelles de clients n'ont pas à y être recopiées telles quelles.

Lire la réponse complète : Pourquoi séparer préproduction et production ?

Un audit de sécurité d'un site web est un examen méthodique de sa configuration, de son code, de ses accès et de son hébergement. Il sert à repérer les failles avant qu'un attaquant ne les exploite. Il aboutit à un rapport qui classe chaque faiblesse par gravité et propose des corrections concrètes, à appliquer par ordre de priorité.

Lire la réponse complète : Qu'est-ce qu'un audit de sécurité d'un site web ?

Un pare-feu applicatif est un filtre placé entre les visiteurs et votre site. Il analyse chaque requête et bloque celles qui correspondent à des tentatives connues, comme une injection ou l'accès à un fichier sensible. Il fait gagner du temps face aux attaques automatisées, mais il ne corrige aucune faille du code et demande un réglage pour éviter de bloquer des visiteurs légitimes.

Lire la réponse complète : Qu'est-ce qu'un pare-feu applicatif (WAF) ?

Un test d'intrusion, ou pentest, est une attaque simulée menée par des spécialistes autorisés contre un site, une application ou un réseau. Il sert à trouver les failles réellement exploitables et à mesurer ce qu'un attaquant pourrait obtenir. Il se déroule dans un périmètre fixé par écrit et se termine par un rapport de corrections classées par priorité.

Lire la réponse complète : Qu'est-ce qu'un test d'intrusion (pentest) ?

Un bon gestionnaire de mots de passe d'entreprise chiffre les données sur l'appareil avant tout envoi, protège le coffre par double authentification, permet de partager des accès par équipe et de retirer ceux d'un collaborateur qui part. Déployez-le par étapes : administrateurs d'abord, mot de passe maître long, import des accès existants, puis suppression des tableurs et des mots de passe enregistrés dans les navigateurs.

Lire la réponse complète : Quel gestionnaire de mots de passe choisir en entreprise ?

Les failles web les plus fréquentes tiennent à quelques familles : contrôle d'accès insuffisant, données mal protégées, injection de commandes via les champs de saisie, conception qui n'anticipe pas les abus, configuration laissée par défaut, composants obsolètes, authentification faible et absence de journalisation. Toutes se corrigent par des mesures connues, appliquées dès la conception.

Lire la réponse complète : Quelles sont les failles web les plus fréquentes ?

Un compte de service est un compte utilisé par un logiciel pour agir automatiquement. Il doit être dédié à un seul usage, disposer uniquement des droits nécessaires à cette tâche, être restreint aux origines attendues, ne jamais servir à une connexion humaine, et voir ses actions journalisées. Ses droits se revoient périodiquement, comme ceux des personnes.

Lire la réponse complète : Quels droits donner à un compte de service ?

Prévenez d'abord votre support informatique et la direction, par téléphone plutôt que par une messagerie peut-être compromise. Appelez la banque si des paiements sont en jeu. Contactez ensuite les autorités : plainte auprès de la police ou de la gendarmerie, notification à la CNIL si des données personnelles sont concernées. Informez enfin l'assureur, les clients et les partenaires connectés.

Lire la réponse complète : Qui prévenir en cas de cyberattaque ?

Face à un rançongiciel, déconnectez immédiatement les appareils touchés du réseau, sans les éteindre si possible, prévenez votre support informatique et conservez les preuves. Les autorités, dont cybermalveillance.gouv.fr et l'ANSSI, recommandent de ne pas payer la rançon. Déposez plainte, faites-vous assister par des professionnels et restaurez vos systèmes à partir de sauvegardes saines.

Lire la réponse complète : Rançongiciel : quels réflexes adopter en cas d'attaque ?

Un secret est une valeur qui autorise un accès : mot de passe de base de données, clé d'API, jeton de service. Écrit dans le code, il se retrouve dans l'historique du projet, dans les copies et parfois en ligne. Il doit être stocké hors du code, dans un coffre ou une variable d'environnement, avec des valeurs différentes par environnement et un renouvellement possible à tout moment.

Lire la réponse complète : Secrets dans le code : quels risques, quelles règles ?

Une session est le lien qui maintient un utilisateur connecté entre deux pages. Elle repose sur un identifiant stocké dans un cookie. Pour la sécuriser, ce cookie doit porter les attributs Secure, HttpOnly et SameSite, l'identifiant doit être renouvelé à chaque connexion, la session doit expirer après une durée limitée et pouvoir être fermée côté serveur.

Lire la réponse complète : Sessions et cookies : comment les sécuriser ?

Commencez par déterminer ce qui s'est passé : page simplement ouverte, identifiants saisis, ou fichier exécuté. Si des identifiants ont été donnés, changez le mot de passe et fermez les sessions ouvertes tout de suite. Si un fichier a été lancé, déconnectez le poste du réseau et appelez le support. Dans tous les cas, remerciez la personne d'avoir signalé.

Lire la réponse complète : Un salarié a cliqué sur un lien piégé : que faire ?

Sur un Wi-Fi public, le risque principal n'est plus l'interception des pages, protégées par le chiffrement des sites, mais le faux point d'accès qui imite celui du lieu et redirige vers de fausses pages de connexion. Préférez le partage de connexion de votre téléphone, désactivez la connexion automatique et réservez les opérations sensibles à un réseau maîtrisé.

Lire la réponse complète : Wi-Fi public : quels risques et quelles précautions ?