Éducation
Ces notes sont défensives et éducatives. Elles décrivent des risques courants et des protections largement reconnues. Ce n’est pas un manuel de test d’intrusion, ni une garantie, ni le substitut d’une évaluation d’un système précis.
Les applications web sont souvent visées parce qu’elles sont exposées et traitent des données non fiables. Les défenses pratiques incluent HTTPS, la validation et l’encodage aux frontières de confiance, la mise à jour des dépendances, et des en-têtes de sécurité qui réduisent l’impact d’attaques navigateur courantes. Traitez chaque paramètre, champ de formulaire et fichier comme non fiable jusqu’à vérification.
La plupart des compromissions commencent par un mot de passe réutilisé, une récupération trop faible ou l’absence de second facteur. Utilisez un mot de passe unique par service, un gestionnaire de mots de passe, et un second facteur résistant à l’hameçonnage lorsque c’est possible. Passez en revue sessions, mots de passe d’application et autorisations OAuth.
La vie privée est aussi un contrôle de sécurité. Ne collectez que ce dont une fonction a besoin, limitez la durée de conservation, et soyez explicite sur les tiers. Côté utilisateur, examinez les permissions, limitez le pistage inutile, et soyez prudent avec les identifiants publiés. Les réglages de confidentialité évoluent avec les produits.
L’hameçonnage joue sur l’urgence, l’autorité ou une marque familière. Vérifiez le nom de domaine réel, pas le nom affiché. N’approuvez pas une invite MFA inattendue. Ne saisissez pas d’identifiants depuis un e-mail : ouvrez le service vous-même. CyberTech AI ne vous demandera jamais de coller un mot de passe, un cookie de session ou un code à usage unique.
Beaucoup d’incidents viennent d’habitudes de livraison : secrets dans le code, jetons trop larges, dépendances non relues, messages d’erreur trop bavards. Stockez les secrets dans un coffre dédié, appliquez le moindre privilège, relisez les changements, et journalisez sans y écrire d’identifiants.
Les plateformes cloud partagent la responsabilité avec le client. Identité, exposition réseau, accès au stockage et journaux sont souvent du côté client. Préférez des identifiants de courte durée, restreignez l’accès public, et activez les journaux d’audit avant d’en avoir besoin. Une mauvaise configuration d’accès est plus fréquente qu’un exploit inédit.
Les modèles peuvent aider au tri et au résumé, mais introduisent aussi des échecs : données sensibles dans les invites, confiance excessive dans la sortie, actions automatiques sans relecture. Traitez la sortie d’un modèle comme une aide non fiable. Gardez les secrets hors du contexte de prompt, et exigez une validation humaine pour les changements de sécurité importants.
La sensibilisation, ce sont les habitudes qui rendent les contrôles utilisables : mises à jour, sauvegardes, vérification des demandes inattendues, et savoir signaler un incident. Une formation est plus utile lorsqu’elle porte sur les outils réellement utilisés, et lorsqu’il est plus sûr de déclarer une erreur que de la cacher.
