MirLabs / Comment je protège mes sites
Comment je protège mes sites
Mes sites sont développés avec l'aide d'une IA et tournent sur un serveur que je gère seul. Voici comment c'est protégé, ce qui est déjà en place et ce qui est en cours. Sans enjoliver.
Qui peut faire quoi
Moi
Je garde les clés : les comptes, les secrets de production, l'accès au serveur. Je décide de ce qui part en ligne quand une décision est nécessaire.
L'IA
Elle écrit le code et les tests, dans un environnement à part. Elle n'a aucun accès au serveur, et aucun mot de passe ni aucune clé ne passe par nos échanges.
Le serveur
Il lit le code sur GitHub, mais ne peut rien y écrire. Il fait seul les tâches mécaniques : sauvegardes, correctifs, analyses.
La chaîne, du code à la production
Chaque maillon a un rôle précis. Un maillon « en cours » est annoncé comme tel, et passera « en place » quand il aura vraiment tourné.
- En place
Chaque changement est testé avant d'être envoyé
L'IA travaille dans une copie jetable du projet, séparée du serveur, et y lance les tests automatisés avant chaque envoi. Une modification qui casse un test ne part pas.
- En place
Les correctifs de sécurité appliqués la nuit
Chaque nuit, le serveur compare la version de PHP de chaque site avec le dernier correctif publié, et reconstruit le site quand il est en retard ou quand l'image de base est republiée. Chaque semaine, tout est reconstruit à neuf.
- En place
Une analyse de vulnérabilités chaque nuit
Tout ce qui tourne est analysé chaque nuit à la recherche de failles connues : système, PHP, Python, JavaScript. Une faille sérieuse qui a un correctif me prévient le matin.
- En place
Une sentinelle dans chaque application
Sentinelle, mon bundle open source, repère les tentatives (fichiers secrets, injections), bloque les adresses fautives et ne m'écrit à la minute que si une réponse sensible est réellement sortie. Le reste est résumé une fois par jour. En place sur ce site et sur LiaScan ; les autres sites le reçoivent à leur prochaine mise en production.
- En place
Une sauvegarde des bases chaque nuit, vérifiée
Chaque base de données est sauvegardée chaque nuit, et chaque sauvegarde est relue pour vérifier qu'elle est exploitable. Deux semaines sont conservées.
- En cours de mise en place
Les mises à jour préparées à part, validées par moi
Les montées de version de PHP, Symfony et des dépendances sont préparées la nuit dans une copie séparée et un conteneur jetable, testées, puis attendent ma validation. Rien ne part seul en production.
- En cours de mise en place
Sauvegardes chiffrées hors du serveur
Une copie chiffrée des bases et une copie de tous les dépôts de code chez un second fournisseur, avec une durée de conservation que personne ne peut raccourcir, pas même moi. Et un test de restauration chaque mois : une sauvegarde jamais restaurée n'est pas une sauvegarde.
- En cours de mise en place
Retour arrière automatique
Après chaque déploiement, le site est vérifié. S'il ne répond plus, la version précédente revient d'elle-même et je suis prévenu. Prêt, en attente d'un premier essai réel en production.
- En cours de mise en place
Double authentification partout
Double authentification par application (pas par SMS) sur les comptes qui comptent : e-mail, code, hébergement, paiement. Codes de secours imprimés, rangés hors ligne.
Ce que cette page ne promet pas
Aucun site n'est inviolable, et je ne prétends pas le contraire. Je ne suis pas certifié, je ne fais pas de tests d'intrusion. Ce que je fais : réduire ce qui peut mal tourner, le voir vite quand ça arrive, et pouvoir revenir en arrière.
Cette page dit comment, pas où : aucune adresse, aucun chemin, aucune version, aucun nom de compte. C'est volontaire.
Signaler une faille
Vous avez trouvé une faille sur un de mes sites ou dans un de mes bundles ? Écrivez-moi en privé, avant toute publication : cdelage.dev@gmail.com.
Je réponds sous 72 heures, je corrige, et je vous crédite si vous le souhaitez. Pour les bundles, le signalement privé de GitHub fonctionne aussi.
Chaque site publie /.well-known/security.txt (RFC 9116), le format standard pour ces signalements, et renvoie à ma politique de divulgation responsable : délais, règles et cadre de bonne foi. Divulgation responsable · security.txt
Les outils, en open source
- Sentinelle — détection d'intrusion, blocage progressif, alerte seulement quand quelque chose est sorti.
- Uplift et Rehearsal — montées de version préparées, testées, puis validées à la main.
- L'IA écrit mon code, je garde les clés (article)
À lire sur le blog
- Une alerte par robot, c'est zéro alerte
- L'IA écrit mon code, je garde les clés
- Mon site se met à jour pendant que je dors, et je valide le matin
- Faire passer un crash-test à un agent IA
- Bloquer un robot sans bloquer un bureau entier
- Pourquoi j'ai mis Sentinelle en vert
Tous les articles sur la sécurité →