Les termes techniques de nos interventions, expliqués.
Chaque page pose la définition, détaille ce qu'on vérifie en audit, ce qu'on active en durcissement, et les pièges qu'on corrige chez nos clients. Destiné aux dirigeants de TPE/PME qui reprennent la main sur leur site, et aux équipes techniques qui préparent une intervention.
Durcissement web
HSTS : le header qui empêche le retour au HTTP
HSTS force le navigateur à ne parler qu'en HTTPS avec votre site. Voici ce que Secushot active en audit et durcissement, les piège...
CSP (Content Security Policy) : le header qui bloque les injections
La CSP est un header HTTP qui contrôle les ressources que votre page peut charger. Comment Secushot la configure sur WordPress et...
TLS 1.2 vs TLS 1.3 : ce qu'on regarde en audit et ce qu'on configure
TLS 1.2 ou TLS 1.3 : ce qu'on vérifie en audit, ce qu'on force en durcissement, et pourquoi on n'active pas TLS 1.3 seul sans véri...
xmlrpc.php WordPress : pourquoi on le désactive et quand on ne peut pas
xmlrpc.php est une interface WordPress ancienne exposée à l'exploitation. Pourquoi on la désactive quasi systématiquement, quand o...
Cloudflare & edge
Cloudflare WAF : le filtre qui bloque les attaques avant votre serveur
Le WAF Cloudflare filtre les requêtes malveillantes avant qu'elles atteignent votre serveur. Quand le plan Free suffit, quand Pro...
Cloudflare Bot Management : bloquer les bots sans ralentir vos visiteurs
Cloudflare Bot Management détecte et bloque les bots malveillants via un score de 1 à 99. Ce qu'il fait vraiment, ses limites sur...
Rate limiting : où on le pose et les valeurs qu'on applique
Le rate limiting limite le nombre de requêtes par IP sur vos endpoints sensibles. Seuils recommandés pour wp-login, /api, /checkou...
Réponse à incident
Webshell PHP : la porte dérobée dans votre hébergement
Un webshell PHP est une porte dérobée déposée par un attaquant sur votre serveur. Où on les trouve, comment on les détecte, et ce...
Backdoor PHP : les patterns qu'on trouve dans les sites compromis
Une backdoor PHP est du code malveillant dissimulé dans vos fichiers légitimes. Patterns eval/base64, preg_replace /e/ : comment S...
Blacklist Google Safe Browsing : sortir du rouge sans brûler les étapes
Site blacklisté par Google Safe Browsing : pourquoi ça arrive, comment demander le retrait via Search Console, et pourquoi nettoye...
IOC (Indicator of Compromise) : ce qu'on documente dans un rapport d'incident
Un IOC est une preuve forensique d'une intrusion : fichier suspect, IP sortante, cron malveillant, user orphelin. Ce que Secushot...
Bots IA & abus
Bloquer GPTBot et les crawlers IA : robots.txt, Cloudflare, Nginx
GPTBot, ClaudeBot, PerplexityBot aspirent votre contenu pour entraîner des modèles IA. 3 méthodes pour les bloquer, leurs limites...
Credential stuffing : détecter l'attaque dans vos logs et la bloquer
Le credential stuffing teste des millions de couples login/mot de passe volés sur votre site. Comment détecter l'attaque dans vos...