Cybersécurité

Comment le site se protège, et vous protège

Un site qui apprend aux gens à gérer leurs propres systèmes doit montrer l'exemple. Cette page montre comment breaktherule.org est protégé : le flux, la logique et la conception, en mots simples.

Le flux

Trois boucles tournent en même temps : une à chaque visite, une chaque jour, une à chaque modification.

La logique

• Par couches. Aucune protection n'est parfaite à elle seule, il y en a donc plusieurs, l'une derrière l'autre, comme les murailles, la porte et le coffre-fort d'un château.
• Dans le doute, non. Quand une vérification ne peut pas s'exécuter, ou ne peut pas répondre, la réponse est non. Un message est refusé plutôt qu'accepté sur parole, et une vérification quotidienne qui n'a pas tourné compte comme un problème.
• Le minimum de données. Ce qui n'est jamais collecté ne peut pas fuir : aucun compte, aucun cookie, et aucun nom, e-mail ou adresse IP conservé avec un message.
• Les secrets hors du code. Le code est écrit comme si tout le monde pouvait le lire, parce qu'un jour ce sera le cas. Le seul secret vit chez Cloudflare, et les vérifications quotidiennes cherchent des secrets et des fichiers interdits dans tout l'historique du code.
• Les machines regardent chaque jour, les personnes décident. Quatre vérifications automatiques cherchent de nouvelles faiblesses chaque matin et écrivent un rapport, même quand rien ne s'est passé. Une personne le lit et décide.
• Rien ne part en ligne sans un accord. Chaque modification est relue et documentée avant d'être publiée. La seule exception est un correctif de sécurité dans une dépendance, publié tout seul uniquement s'il est petit et si toutes les vérifications sont au vert.

La conception

Tout est gratuit et open source : l'offre gratuite de Cloudflare, les outils gratuits de GitHub et des scanners que chacun peut télécharger. Rien n'appelle une IA et rien n'exige un service payant, donc les mêmes protections peuvent être copiées par quiconque gère un petit site.

Tout est écrit. La documentation du projet décrit chaque protection, son état et comment la vérifier depuis n'importe quel ordinateur, pour qu'un changement que personne n'attendait saute aux yeux.

Tout suit les quatre étapes du site lui-même : accepter le processus, le comprendre, trouver la partie qui ne marche pas, enfreindre la règle et l'améliorer. Le rapport quotidien existe pour trouver cette partie avant que quelqu'un d'autre ne le fasse.

Vous avez trouvé un problème de sécurité ?

Écrivez à 59495@proton.me, en décrivant le problème et comment le reproduire. La même adresse se trouve dans security.txt, le fichier standard où un site dit à qui le signaler.