Une faille majeure de PHP nous rappelle qu’un site Web qui fonctionne n’est pas nécessairement un site Web bien entretenu.

Le 21 octobre dernier, deux vulnérabilités critiques ont été dévoilées dans PHP, une technologie utilisée par de très nombreux sites Web. Ces failles pourraient permettre à une personne malveillante d’exécuter du code à distance sur un système vulnérable. Le Centre canadien pour la cybersécurité recommande aux organisations concernées d’appliquer les mises à jour appropriées sans délai.

Consulter l’alerte du Centre canadien pour la cybersécurité

WordPress a également publié une alerte à l’intention des propriétaires de sites. L’organisation recommande de vérifier la version de PHP utilisée et, au besoin, de communiquer avec son hébergeur pour connaître les mesures mises en place. Il est important de préciser que ces vulnérabilités ne sont pas propres à WordPress : elles concernent PHP et peuvent donc toucher différentes applications Web.

Consulter l’avis de WordPress.org

Mais devant une alerte comme celle-ci, une question très simple se pose : si votre site Web était concerné, sauriez-vous qui doit intervenir?

Un site qui fonctionne n’est pas nécessairement un site à jour

Dans le milieu culturel, il n’est pas rare qu’un site Web ait été créé il y a plusieurs années par une agence, un travailleur autonome, une personne employée qui a depuis quitté l’organisation ou même un bénévole.

Le site est toujours en ligne. Les activités sont ajoutées. Les formulaires fonctionnent. Tout semble aller normalement.

Pourtant, derrière les pages que nous voyons se trouvent plusieurs composantes qui nécessitent elles aussi un suivi : l’hébergement, PHP, le système de gestion de contenu comme WordPress, les extensions, le thème, le nom de domaine, les certificats de sécurité, les sauvegardes et les différents comptes administrateurs.

Au fil des années, certaines technologies deviennent désuètes, des extensions cessent d’être maintenues et des accès appartenant à d’anciennes personnes employées ou à des fournisseurs peuvent demeurer actifs.

C’est une forme de dette numérique : une accumulation de petites choses qui fonctionnent encore aujourd’hui, mais qui peuvent éventuellement devenir des risques.

Qui est responsable de quoi?

Lorsqu’un site est confié à un fournisseur externe, on peut facilement présumer que celui-ci « s’occupe du site ». Mais qu’est-ce que cela signifie exactement?

Votre fournisseur effectue-t-il les mises à jour de WordPress? Celles des extensions? Surveille-t-il les vulnérabilités? Votre hébergeur met-il automatiquement PHP à jour? Qui vérifie les sauvegardes? Qui intervient si le site est compromis?

Ces responsabilités ne sont pas nécessairement assumées par la même personne ou la même entreprise. Et c’est souvent lorsqu’un problème survient qu’on découvre les zones grises.

Faites le test avec votre propre site

Sans être spécialiste en informatique, une organisation devrait pouvoir répondre à quelques questions de base :

• Où notre site Web est-il hébergé?
• Qui possède et renouvelle notre nom de domaine?
• Qui est responsable de la maintenance technique du site?
• Qui effectue les mises à jour?
• Qui possède des accès administrateurs?
• Avons-nous une sauvegarde récente et savons-nous comment la récupérer?
• Qui reçoit les alertes de sécurité?
• Qui devons-nous contacter si une vulnérabilité urgente est annoncée?

Si certaines réponses sont inconnues, ce n’est pas nécessairement signe qu’il y a un problème de sécurité. C’est toutefois une bonne occasion de faire l’inventaire et de clarifier les responsabilités.

La maintenance numérique fait aussi partie de la cybersécurité

On associe souvent la cybersécurité aux mots de passe, à l’authentification multifacteur ou aux courriels d’hameçonnage. Ces pratiques demeurent essentielles.

Mais la cybersécurité passe également par quelque chose de beaucoup moins spectaculaire : entretenir les outils numériques que l’on utilise déjà.

La faille découverte dans PHP en octobre nous en offre un bon rappel. Une organisation n’a pas besoin de comprendre le fonctionnement technique de PHP pour agir. Elle doit toutefois savoir si son site est concerné et, surtout, qui possède l’expertise et la responsabilité nécessaires pour intervenir.

Un site Web ne devrait donc pas seulement avoir une personne responsable de son contenu. Il devrait aussi avoir une personne — à l’interne ou à l’externe — clairement responsable de sa santé technique.

Parce qu’entre « notre site fonctionne » et « notre site est maintenu », il y a une différence importante.

Vous avez un besoin numérique? Parlons-en.

Je suis disponible pour accompagner les membres de Culture Montérégie dans leurs réflexions et leurs projets. Écrivez-moi à numerique@culturemonteregie.qc.ca pour en discuter.