Socle
La meilleure défense,
c’est l’absence de cible
Empiler des couches de protection sur une architecture exposée revient à surveiller un problème plutôt qu’à le résoudre. Nous commençons toujours par supprimer ce qui n’a pas besoin d’exister.
Nos piliers
Six réflexes appliqués à chaque livraison
Réduire avant de protéger
La première mesure de sécurité consiste à supprimer ce qui n’est pas indispensable : un service en moins, c’est une vulnérabilité de moins pour toujours.
En-têtes HTTP stricts
Content Security Policy, HSTS, Referrer-Policy, Permissions-Policy et X-Content-Type-Options configurés et testés, pas copiés depuis un article de blog.
Chaîne d’approvisionnement
Dépendances épinglées, contrôle d’intégrité des ressources externes, analyse des vulnérabilités connues à chaque build.
Gestion des secrets
Aucun jeton, mot de passe ou clé dans le dépôt. Coffre dédié, injection à l’exécution, rotation planifiée.
Référentiels reconnus
Nos revues s’appuient sur l’OWASP Top 10 et l’OWASP ASVS, ainsi que sur les guides d’hygiène publiés par l’ANSSI.
Conformité documentée
Registre des traitements, minimisation des données, préparation aux exigences NIS 2 pour les entités concernées.
Audit gratuit
Ce que contient le diagnostic de 48 heures
Un livrable concret, lisible par un dirigeant comme par un technicien — et sans obligation de travailler avec nous ensuite.
- 1
Cartographie des points d’entrée exposés sur Internet et des services réellement nécessaires.
- 2
Inventaire des dépendances, extensions et scripts tiers, avec leurs vulnérabilités connues.
- 3
Analyse des en-têtes de sécurité, de la configuration TLS et de la politique de cookies.
- 4
Revue de la gestion des secrets, des accès et des sauvegardes.
- 5
Contrôle du respect du RGPD sur les traceurs et les formulaires.
- 6
Plan de remédiation hiérarchisé par criticité, avec estimation d’effort pour chaque point.
Notre position
Pourquoi nous parlons d’architecture avant de parler d’outils
Le marché de la sécurité web vend surtout des couches supplémentaires : pare-feu applicatif, antivirus de fichiers, scanner de vulnérabilités, supervision. Ces outils ont leur utilité, mais ils partagent une caractéristique inconfortable : ils supposent que la cible reste en place, et ils facturent leur surveillance indéfiniment.
Notre conviction, forgée sur des remises en état de sites compromis, est qu’il faut inverser l’ordre des opérations. D’abord réduire la surface, ensuite protéger ce qui reste. Un site vitrine transformé en fichiers statiques n’a plus besoin de pare-feu applicatif, parce qu’il n’y a plus d’application à protéger. Le budget qui y était consacré finance la migration, une fois.
Ce que nous ne faisons pas
Nous ne vendons pas de certification, nous ne délivrons pas de label, et nous ne prétendons pas rendre un système « inviolable » — aucun prestataire honnête ne le fait. Nous réduisons des risques, nous les documentons, et nous vous disons clairement ce qui reste exposé après notre intervention.
Ce que vous obtenez
Un périmètre plus petit, des règles de configuration explicites et versionnées, une liste de dépendances maîtrisée, des secrets hors du code, et une procédure de restauration testée. C’est moins spectaculaire qu’un tableau de bord rempli de graphiques, mais c’est ce qui fait la différence le jour où quelqu’un s’intéresse sérieusement à votre site.
Questions fréquentes
Cybersécurité : vos questions
Nous réalisons des audits de configuration et de code sur les périmètres que nous concevons ou reprenons. Pour un test d’intrusion offensif formel, avec rapport opposable, nous travaillons avec des cabinets spécialisés et coordonnons la remédiation à la suite du rapport.
La directive NIS 2 élargit considérablement le périmètre des entités concernées, notamment aux entreprises de taille moyenne dans de nombreux secteurs, ainsi qu’à leurs fournisseurs. Nous vous aidons à déterminer votre situation et à préparer les exigences techniques qui vous incombent — la qualification juridique définitive relevant de votre conseil.
Contactez-nous en priorité, en le signalant explicitement. Nous procédons dans l’ordre : isolement, préservation des traces, identification du vecteur, nettoyage, puis reconstruction sur une architecture qui rend la réinfection impossible. Reconstruire sans comprendre le vecteur ne fait que reporter le problème.
Non. Le durcissement fait partie de toutes nos livraisons, sans ligne dédiée. Ce qui se facture séparément, ce sont les audits de périmètres existants que nous n’avons pas conçus, et les prestations de remédiation qui en découlent.
Prochaine étape
Que verrait un attaquant en regardant votre site aujourd’hui ?
L’audit gratuit répond à cette question en 48 h, avec un plan de remédiation hiérarchisé et chiffré.
Réponse sous 24 h ouvrées · Aucune donnée stockée sur nos serveurs