Cybersécurité · technologies
Des mesures de sécurité à chaque couche.
Authentification, applications et API, infrastructure, audit, données : les mesures que nous appliquons à nos propres systèmes et celles que nous intégrons aux vôtres.
Technologies par famille
Ce que nous appliquons, par famille
Pour chaque famille, ce que nous appliquons à nos propres systèmes, puis ce que nous intégrons selon votre projet. Aucune mesure ne garantit l'invulnérabilité.
Les technologies que nous mettons en œuvre dans nos projets, au cœur de nos réalisations.
Les technologies que nous évaluons avec vous et intégrons lorsque votre besoin ou votre contexte le justifie.
Mises en œuvre dans nos projets
Les technologies que nous mettons en œuvre dans nos projets, au cœur de nos réalisations.
Authentification et accès
Que chacun voie et fasse seulement ce qui lui revient, et que personne ne puisse usurper sa place.
Sessions sécurisées et mots de passe protégés
Des comptes dont la session ne se vole pas facilement et dont les mots de passe ne sont jamais stockés en clair, avec limitation des essais répétés.
Protection CSRF et limitation des tentatives
Les requêtes forgées depuis un autre site sont refusées et les essais de connexion répétés sont bloqués.
Applications et API
Chaque opération sensible est vérifiée côté serveur, jamais seulement dans le navigateur.
Validation des entrées et requêtes paramétrées
Ce que reçoit le serveur n'est jamais cru sur parole : la porte est fermée aux injections SQL et aux contenus piégés.
En-têtes de sécurité (HSTS, anti-clickjacking, nosniff)
Des protections du navigateur activées par défaut, qui bloquent des familles entières d'attaques.
Quotas anti-abus et pièges à robots
Le spam et les tentatives d'énumération sont freinés sans gêner les vrais utilisateurs.
Infrastructure et exploitation
Un serveur durci, surveillé et restaurable, où seuls les services nécessaires sont exposés.
HTTPS (TLS 1.2 et 1.3) et gestion des secrets
Des échanges chiffrés, et des secrets qui ne figurent ni dans le code ni dans les journaux.
Sauvegardes vérifiées et retour arrière
Une sauvegarde dont la restauration est testée, et une mise en ligne qui peut être annulée en quelques minutes.
Blocage automatique des intrusions (fail2ban)
Les adresses qui multiplient les échecs de connexion sont bloquées automatiquement.
Audit et tests
Trouver les failles avant les autres, avec une méthode, un périmètre convenu et un rapport priorisé.
Référentiel OWASP (guide de bonnes pratiques)
Une méthode d'audit reconnue pour structurer le contrôle de votre application, sans prétendre à une certification.
Contrôle des dépendances vulnérables
Vous savez quelles bibliothèques utilisées en production ont une faille publiée, et lesquelles corriger en priorité.
Protection des données
Collecter peu, conserver peu de temps, protéger ce qui reste.
Intégrables selon votre projet
Les technologies que nous évaluons avec vous et intégrons lorsque votre besoin ou votre contexte le justifie.
Authentification et accès
Que chacun voie et fasse seulement ce qui lui revient, et que personne ne puisse usurper sa place.
Authentification forte (TOTP, clés d'accès WebAuthn)
Un second facteur ou une connexion sans mot de passe pour vos administrateurs et vos clients sensibles.
OAuth 2, OpenID Connect et connexion unique (SSO)
Vos équipes se connectent une fois, avec leur compte professionnel, à toutes vos applications.
Gestion des identités (Keycloak)
Un annuaire centralisé des comptes, des rôles et des droits, avec arrivées et départs maîtrisés.
Applications et API
Chaque opération sensible est vérifiée côté serveur, jamais seulement dans le navigateur.
Politique de sécurité des contenus (CSP) appliquée
Seuls les scripts prévus s'exécutent dans vos pages : une défense forte contre l'injection de scripts malveillants.
Pare-feu applicatif (WAF)
Le trafic malveillant est filtré avant d'atteindre l'application, avec des règles ajustées à votre usage.
Sécurité des API (jetons, portées, quotas)
Des accès limités à ce qui est nécessaire, révocables et surveillés, pour vos partenaires comme pour vos applications mobiles.
Infrastructure et exploitation
Un serveur durci, surveillé et restaurable, où seuls les services nécessaires sont exposés.
Pare-feu, segmentation et durcissement système
Seuls les services nécessaires sont exposés, séparés les uns des autres, avec une configuration de base durcie.
Supervision et journalisation centralisée
Les événements de sécurité collectés au même endroit et surveillés : une anomalie est vue avant qu'elle ne devienne un incident.
Chiffrement des données et des sauvegardes
Les données restent illisibles en cas de perte d'un disque ou d'une sauvegarde.
Audit et tests
Trouver les failles avant les autres, avec une méthode, un périmètre convenu et un rapport priorisé.
Tests d'intrusion applicatifs (Burp Suite, OWASP ZAP)
Une application testée comme le ferait un attaquant, dans un périmètre convenu, avec un rapport priorisé.
Analyse du code et des secrets (Semgrep, gitleaks)
Les erreurs de conception et les clés oubliées dans le code détectées avant la mise en production.
Analyse d'exposition réseau (Nmap)
Ce que votre infrastructure expose réellement sur Internet, comparé à ce qu'elle devrait exposer.
Protection des données
Collecter peu, conserver peu de temps, protéger ce qui reste.
Cartographie des données et registre des traitements
Savoir quelles données sont collectées, où elles vont et qui y accède : la base de toute mise en conformité.
Analyse d'impact et conformité RGPD
Un accompagnement pour documenter vos traitements et corriger les écarts, sans substitut à un avis juridique.
5 familles, 26 technologies. Les logos appartiennent à leurs propriétaires respectifs ; ils servent à identifier la technologie et n'indiquent aucun partenariat.
Fiches technologiques
Le détail, technologie par technologie.
Pour chaque technologie : le besoin qu'elle couvre, quand la choisir ou l'éviter, et notre façon de l'intégrer.
- OWASP Top 10Vous croisez le Top 10 dans un devis, un rapport ou un appel d'offres. Mieux vaut savoir ce qu'il garantit, et surtout ce qu'il ne garantit pas.
- CSP et en-têtes de sécuritéUn en-tête de sécurité n'ajoute aucune fonction visible pour vos visiteurs : il retire des possibilités à un attaquant.
Et aussi
14 autres technologies, intégrables selon votre projet
Besoin d'une technologie précise, d'une alternative ou d'une intégration dans un environnement contraint ? Nous l'évaluons avec vous et l'intégrons à votre architecture quand le besoin le justifie.
Voir les technologies intégrablesNotre méthode
Ce qui guide nos choix de sécurité
La sécurité se construit par couches et se vérifie ; elle ne se déclare pas.
Sécurisé par défaut
Sessions, validation des entrées et en-têtes de protection sont prévus dès la conception, pas ajoutés à la fin.
Vérifié, pas supposé
Nous contrôlons nos propres systèmes avec les méthodes que nous proposons : lecture du code, contrôle des dépendances, examen de la configuration.
Aucune certification revendiquée
Nous nous appuyons sur les recommandations publiques de l'OWASP comme guide de bonnes pratiques, sans prétendre à une certification.
Aller plus loin
Des mesures aux expertises
Ces pages décrivent le service rendu et son périmètre.
- Le pôle CybersécuritéLa vision, l'offre et l'approche de Crawler Agency sur ce domaine.
- Audit de sécurité webVos risques identifiés avant qu'on ne les exploite.
- Sécurité des applications et APIChaque opération sensible vérifiée côté serveur.
- Authentification et accèsQue chacun voie et fasse seulement ce qui lui revient.
- Sécurisation des infrastructuresUn serveur durci, surveillé et restaurable.
- Protection des donnéesCollecter peu, conserver peu de temps, protéger ce qui reste.
- Maintenance de sécuritéDes correctifs appliqués avant que la faille ne soit exploitée.
Questions fréquentes
Les questions que pose la sécurité d'une application.
Des réponses courtes, sans promesse d'invulnérabilité.
Avez-vous des certifications de sécurité ?
Non, et nous ne prétendons pas en avoir. Nous nous référons aux recommandations publiques de l'OWASP, comme guide de bonnes pratiques, pour le contrôle de la sécurité de vos applications web.
Quelles mesures appliquez-vous à votre propre site ?
Requêtes de base de données paramétrées, validation des entrées, sessions à jeton aléatoire, limitation des tentatives, en-têtes de sécurité, secrets hors du code et contrôle des dépendances. Elles sont détaillées plus haut, avec ce que nous intégrons en complément selon votre projet.
Que contrôle un audit d'application web ?
Les protections côté serveur, l'authentification, la gestion des accès et la configuration. Le périmètre et la méthode sont décrits sur la page audit de sécurité des applications web.
Une application à sécuriser, un contrôle à cadrer.
Décrivez votre système : nous proposons un périmètre d'audit précis, sans promesse d'invulnérabilité.