securisation-prod #9

Fusionnée

feunoulionel4 fusionné 3 commits depuis securisation-prod vers main

2026-09-28 20:56:23 +02:00

feunoulionel4 a commenté

2026-09-28 20:55:27 +02:00

Propriétaire

SSH : clé seule à travers le VPN, mot de passe et root refusés, liste d'invités restreinte, ancien port fermé (Connection refused). Configuration effective vérifiée avec sshd -T, identique à prod01/00-durcissement.conf. Terminal de secours de la plateforme testé (entre sur le nouveau port, sudo sans mot de passe). Piège rencontré : ssh.socket ignorait la directive Port.
En-têtes de sécurité : CSP appliquée avec l'empreinte du script, HSTS à 5 minutes (passage à un an prévu), redirection 80 vers 443, version de nginx masquée. Note A sur securityheaders.com.
ModSecurity avec OWASP CRS 3.3.4 en mode blocage : attaques d'essai en 403, visite normale en 200.
CrowdSec et son videur dans nginx : liste blanche du VPN prouvée avec cscli explain, ban manuel prouvé, clé d'API du videur remplacée.
Fichiers privés du site masqués en 404.
Aucun secret dans la branche (contenu relu avant chaque push). La clé du videur, les identifiants de l'agent et les clés du certificat restent sur le serveur.
Reste à faire : passage de HSTS à un an.

SSH : clé seule à travers le VPN, mot de passe et root refusés, liste d'invités restreinte, ancien port fermé (Connection refused). Configuration effective vérifiée avec sshd -T, identique à prod01/00-durcissement.conf. Terminal de secours de la plateforme testé (entre sur le nouveau port, sudo sans mot de passe). Piège rencontré : ssh.socket ignorait la directive Port. En-têtes de sécurité : CSP appliquée avec l'empreinte du script, HSTS à 5 minutes (passage à un an prévu), redirection 80 vers 443, version de nginx masquée. Note A sur securityheaders.com. ModSecurity avec OWASP CRS 3.3.4 en mode blocage : attaques d'essai en 403, visite normale en 200. CrowdSec et son videur dans nginx : liste blanche du VPN prouvée avec cscli explain, ban manuel prouvé, clé d'API du videur remplacée. Fichiers privés du site masqués en 404. Aucun secret dans la branche (contenu relu avant chaque push). La clé du videur, les identifiants de l'agent et les clés du certificat restent sur le serveur. Reste à faire : passage de HSTS à un an.

feunoulionel4 a ajouté 3 révisions

2026-09-28 20:55:27 +02:00

Job 09 - securite de la prod : en-tetes, ModSecurity, CrowdSec 790f51e7c9

Job 09 - durcissement SSH : cle seule, VPN, port non standard 006aca294a

Job 09 - preuve du terminal de secours 7631d95fc0

feunoulionel4 a fusionné la révision 512ae928ec dans main

2026-09-28 20:56:23 +02:00

feunoulionel4 a référencé cette pull request depuis un commit

2026-09-28 20:56:25 +02:00

Merge pull request 'securisation-prod' (#9) from securisation-prod into main

Connectez-vous pour rejoindre cette conversation.

Sans évaluateur