Aller au contenu principal

Sécurité

Paramètres > Sécurité vérifie la sécurité de votre site et vous aide à corriger les problèmes. Trois analyses sont exécutées : l’analyse des paquets, l’analyse du code et la vérification de sécurité par l’IA. En cas de problèmes critiques, leur nombre apparaît en rouge à côté de Sécurité dans la barre latérale des paramètres.

En haut, une ligne indique le nombre de problèmes à corriger et la date de la dernière vérification de votre site. Cliquez sur Vérifier maintenant pour relancer la vérification. En dessous, vous trouverez :

  • Vérification par l’IA : la vérification approfondie que l’IA effectue dans le chat. Cliquez sur Lancer la révision. Elle utilise des crédits.
  • Vérifications automatiques : les analyses gratuites des paquets et du code, avec la date de leur dernière exécution.
  • Problèmes dans votre code : les problèmes détectés par l’analyse du code, du plus grave au moins grave.
  • Paquets : chaque paquet présentant un problème connu, la version installée, la version qui le corrige et la version sur votre site en ligne. Télécharger la liste permet de l’enregistrer dans un fichier.
  • Mises à jour de sécurité automatiques, M'envoyer un e-mail en cas de problème critique et Bloquer la publication tant qu'un problème critique est ouvert.

Analyse des paquets​

Votre site repose sur des paquets open source, comme le framework sur lequel il fonctionne. L’analyse des paquets compare chaque paquet utilisé par votre site à la base npm des avis de sécurité recensant les problèmes connus.

Elle s’exécute automatiquement :

  • Chaque jour, pour les sites actifs et publiés
  • Après les modifications réalisées par l’IA
  • À chaque publication, pour refléter ce qui est en ligne

Analyse du code​

L’analyse du code est gratuite et s’exécute à chaque publication. Vous pouvez aussi la lancer à tout moment depuis l’onglet Sécurité. Elle recherche les erreurs qui exposent le plus souvent les données d’un site :

  • Clés secrètes dans le code du navigateur. Toute personne qui ouvre votre site peut lire ce que le navigateur charge.
  • Valeurs secrètes dans des variables publiques. Les secrets dont le nom commence par NEXT_PUBLIC_ sont transmis au navigateur. Pour les clés privées, utilisez des noms sans ce préfixe. Consultez Valeurs publiques.
  • Clés de service dans le code du navigateur. Une clé de service contourne les règles d’accès de votre base de données. Elle doit donc rester uniquement dans le code serveur.
  • Tables sans sécurité au niveau des lignes. Sans cette protection, n’importe qui pourrait lire ou modifier les lignes de la table.
  • Routes de tâches non protégées. Des tâches planifiées dont les routes peuvent être appelées par n’importe qui, et pas seulement par le planificateur.
  • Affichage HTML non sécurisé. Afficher du HTML brut peut permettre à quelqu’un d’exécuter ses propres scripts sur vos pages.
  • Paramètres d’image risqués. Des paramètres d’image plus permissifs que nécessaire pour votre site.

Vérification de sécurité par l’IA​

La vérification de sécurité par l’IA s’exécute dans le chat lorsque vous cliquez sur Lancer la révision. Elle utilise des crédits, comme tout message. L’IA lit tout le code de votre site, ainsi que les règles d’accès de votre base de données si une base est connectée. Elle recherche les problèmes propres au fonctionnement de votre site :

  • Qui peut lire ou modifier quoi
  • Les pages et les actions qui devraient vérifier que la personne est connectée
  • Les paiements
  • Les injections, lorsqu’une saisie d’un visiteur est interprétée comme du code ou une requête de base de données
  • Les données affichées à des personnes qui ne devraient pas y avoir accès

Elle répertorie les problèmes trouvés, du plus grave au moins grave, et vous demande votre accord avant toute modification. Ses résultats restent dans le chat.

Comprendre les résultats​

Chaque résultat indique le problème, son emplacement et sa gravité : critique, élevée, modérée ou faible. Les résultats sont classés du plus grave au moins grave. Commencez donc par le haut de la liste.

Les résultats concernant les paquets indiquent le nom du paquet, les versions concernées et l’avis de sécurité, que vous pouvez ouvrir pour le lire en entier. Les résultats de l’analyse du code indiquent le fichier et la ligne. Corriger avec l’IA applique la modification. Tout corriger avec l’IA corrige tous les problèmes de votre code en une seule fois.

Pour mettre un problème de côté, cliquez sur Ignorer et choisissez un motif : C'est voulu sur ce site, J'accepte le risque, C'est une erreur ou Jusqu’à ce qu’un correctif soit disponible. Vous pouvez ajouter une note. Les problèmes ignorés quittent la liste. Afficher les problèmes ignorés permet de les consulter, et Restaurer remet un problème dans la liste.

Aucune analyse ne détecte tous les risques. Un rapport sans problème signifie qu’aucune de ces vérifications n’en a trouvé, pas que votre site ne peut pas en avoir. Testez tout ce qui gère les connexions, les paiements ou les données de vos utilisateurs avant de vous y fier.

Corriger les problèmes détectés​

  • Mises à jour des paquets. Lorsqu’une version corrigée d’un paquet est disponible, cliquez sur Mettre à jour pour l’appliquer à votre brouillon, puis publiez pour la mettre en ligne. Les correctifs au sein d’une même version majeure ne changent pas le fonctionnement de votre site.
  • Corriger avec l’IA. Cliquez sur Corriger avec l’IA sur un problème détecté pour que l’IA applique le correctif proposé. La modification est enregistrée dans l’historique des versions, ce qui vous permet de l’annuler.

Les corrections qui demandent plus qu’une simple mise à jour de version, comme le passage à une nouvelle version majeure ou une modification de votre code, ne sont jamais appliquées automatiquement. Elles sont signalées avec une option de correction en un clic. Vous décidez quand les appliquer.

Mises à jour de sécurité automatiques​

Lorsqu’un paquet utilisé par votre site présente une vulnérabilité critique et que le correctif reste dans la même version majeure, WebTwizz met à jour votre site publié pour vous :

  1. Seules les versions des paquets changent. Le code propre à votre site n’est jamais modifié.
  2. WebTwizz reconstruit la version publiée de votre site. Les brouillons inachevés ne sont jamais publiés.
  3. Si la reconstruction échoue, votre version actuelle reste en ligne.
  4. Un point de restauration est enregistré dans l’historique des versions. Pour annuler la mise à jour, restaurez la version qui la précède.
  5. Si votre projet est synchronisé avec GitHub, la mise à jour y est envoyée sous forme de commit.
  6. Vous recevez un e-mail qui indique ce qui a changé.

WebTwizz reconstruit aussi les sites publiés lorsque Node.js, qui les fait fonctionner, reçoit un correctif de sécurité. Rien ne change dans votre site, et la mise à jour apparaît sous Géré pour vous.

Les mises à jour automatiques sont activées par défaut pour les nouveaux sites. Elles sont désactivées pour les sites créés avant leur mise en place. Pour modifier ce réglage pour un site, ouvrez Paramètres > Sécurité et activez ou désactivez Mises à jour de sécurité automatiques. Si une faille est activement exploitée, WebTwizz peut tout de même appliquer la mise à jour et mettre le site hors ligne jusqu’à sa correction.

Alertes par e-mail​

  • Problèmes critiques. Lorsqu’un nouveau problème critique touche un site publié, vous recevez un e-mail à l’adresse de votre compte. Cette option est activée par défaut. Pour ne plus recevoir ces e-mails, désactivez M'envoyer un e-mail en cas de problème critique dans Paramètres > Sécurité.
  • Problèmes de gravité élevée. Ils sont regroupés dans un e-mail hebdomadaire.

Vérifications à la publication​

Chaque publication lance l’analyse des paquets et l’analyse du code. Les problèmes critiques ouverts apparaissent sur la ligne Sécurité du panneau de publication.

Pour qu’un site ne soit jamais mis en ligne avec un problème critique connu, activez Bloquer la publication tant qu'un problème critique est ouvert dans Paramètres > Sécurité. La publication attend alors que chaque problème critique soit corrigé ou ignoré. Cette option est désactivée par défaut.

Ce que WebTwizz prend en charge​

Les éléments suivants sont sécurisés et maintenus à jour pour vous, sans aucune configuration :

  • La base de départ et les modèles. La base utilisée pour créer chaque nouveau site et tous les modèles de la galerie.
  • Votre aperçu. L’aperçu de chaque site s’exécute dans sa propre machine virtuelle isolée.
  • Hébergement. Les sites sur des adresses webtwizz.app et sur leurs propres domaines, avec HTTPS.
  • Secrets. Ils sont stockés sous forme chiffrée. Vous les saisissez uniquement sur WebTwizz, jamais dans un chat avec un assistant IA. Consultez Secrets.
  • Sites privés et protégés par mot de passe. L’accès est vérifié avant le chargement du site. Consultez Visibilité.

Signaler un problème de sécurité​

Si vous découvrez un problème de sécurité dans WebTwizz ou sur un site qui y est hébergé, écrivez à security@webtwizz.com. Consultez webtwizz.com/security pour savoir quelles informations inclure et lire les avis de sécurité précédents.