514-360-1901
Select Page

Notio – Mesures de sécurité Web

Notio s’engage à effectuer les recherches techniques nécessaires pour garantir que toutes les bonnes pratiques de l’industrie sont mises en place, tant au niveau des systèmes d’exploitation des serveurs que des applications Web dont Notio est responsable.

1. Infrastructure

Nos serveurs sont hébergés dans un réseau privé chez Amazon Web Services Canada.

Nous hébergeons les éléments suivants chez CloudFlare :

  • Service de définition de domaine (DNS)
  • Pare-feu applicatif (WAF)
  • Système de protection contre les attaques massives (DDoS)
  • Certificat de sécurité (SSL)
  • Réseau de distribution des ressources (CDN)

2. Protection du trafic réseau (pare-feu)

Notio préconise l’approche de tout fermer et de n’exposer que les services essentiels.

Les services ouverts sont :

  • Port 80 : Web (protocole HTTP) permettant la redirection vers le port 443 (HTTPS)
  • Port 443 : Web (protocole HTTPS)
  • Port 21 : FTP (Transfert de fichiers par le propriétaire de l’application Web. Sécurisé par mot de passe complexe)

Les services fermés sont :

  • Port 22 : SSH *
  • Port 3306 : MySQL *
  • Tous les autres ports

* Une adresse IP interne au réseau est exclue de cette règle pour la gestion, la maintenance et le bon fonctionnement des services.

3. Protection logicielle

Notio met en place des systèmes de protection sur les serveurs à l’externe des applications Web.

  • Pare-feu applicatif (WAF) CloudFlare :
    • Les sessions qui ne sont pas en provenance du Canada et des États-Unis sont soumises à une vérification par JavaScript.
    • Les services suivant sont activés: Mode Lutte contre les bots et bloquer les robots AI
  • Un certificat de sécurité (SSL) est en place pour chiffrer les données envoyées à l’application Web.
  • Page de connexion (login) : Les robots restent sous l’impression d’essayer des combinaisons, tandis que les visiteurs légitimes sont redirigés vers la page de connexion fonctionnelle.
  • Toutes les requêtes faites au serveur Web sont inspectées. Les sessions sont suivies pour détecter l’automatisation. Lors de comportements suspects, l’adresse IP est automatiquement bloquée. Si par erreur une session légitime était bloquée, l’utilisateur peut, en suivant les instructions, débloquer sa session.

Spécifique à l’application Web WordPress :

  • Le système de fichiers de l’application est en lecture seule.
  • Uniquement les éléments éditables par l’application sont permis en écriture (wp-content).
  • L’exécution depuis l’externe (URL directe) dans le répertoire wp-content est bloquée par le serveur Web.