Bonnes Pratiques Web & Cloud

Some online resources mention that HTTP Basic Authentication is deprecated, but that’s a misunderstanding. Only passing username and password as part of the URL is deprecated. It’s still perfectly valid to pass the credentials in the HTTP header and that’s what I’ll be doing. This method works in every modern browser.

As an additional aside, modern browsers still support credentials in the URL, even though the practice is deprecated. To prevent certain fishing attacks, they hide those credentials from the user in various ways, but it tends to work anyway. I wouldn’t personally use credentials in the URL though; who knows how long browsers will continue to support that.

Because Basic Authentication sends the username and password with each HTTP request, it’s insecure unless the credentials are served over an encrypted HTTPS connection. These days HTTPS is the norm for many of our projects, but it’s something you need to be aware of. You don’t want to use this over a regular HTTP connection because anyone on the same network can see the unencrypted values. Because HTTPS requests are encrypted, this isn’t a problem over HTTPS.

I’ve created a template for a simple application that implements HTTP Basic Authentication in Go.

I’ve also created a template for a simple application that implements HTTP Basic Authentication in PHP.

HTTPS Everywhere is a Firefox, Chrome, and Opera extension that encrypts your communications with many major websites, making your browsing more secure. Encrypt the web: Install HTTPS Everywhere today.

Ce guide vous offre une checklist complète d’audit de site. Elle vous aidera à procéder exactement comme un webmaster, peu importe la grandeur de votre site.

Comment avons-nous recueilli les données ?

Nous avons exploré 250 000 sites web de différentes niches, dont la santé, le voyage, les sports, la science, avec l’outil Audit de site de SEMrush afin de trouver les erreurs SEO les plus importantes qui les tirent vers le bas.

En tout, nous avons analysé :

• 310 161 067 pages web

• 28 561 137 301 liens

• 6 910 489 415 images

Cette ampleur de l’analyse nous a donné suffisamment d’informations pour créer un modèle complet d’audit de site que les webmasters peuvent utiliser pour éviter de commettre ce type d’erreurs.

On ne peut pas échapper au fait qu’un audit de site proprement exécuté exige du temps.

Notre étude a révélé 27 erreurs communes qui ne peuvent pas être exposées toutes en mêmes temps, et c’est pourquoi nous avons divisé la liste en morceaux plus digestes, que vous pourrez utiliser comme modèles exploitables pour votre propre site. 

Vous vous souvenez de mon merveilleux article sans nul égal au sujet de la mise en place d’un certificat SSL Let’s Encrypt à l’aide d’un formidable utilitaire baptisé Certbot ?

Oui, je suis sûr que vous le relisez religieusement au moins une fois par semaine. Et bien bonne nouvelle, l’EFF (Electronic Frontier Foundation) qui est à l’origine de cet outil vient de publier à l’instant la version 1.0 de Certbot.

Sorti initialement en 2015, cet outil libre et open source permet de déployer et mettre à jour les certificats des sites web très facilement. Plus de prise de chou, même pour le néophyte avec cet outil qui permet d’automatiser tout ça.

Since March 2016, numerous credit cards and other details have been stolen during payment from dozens of online shops worldwide. Malicious JavaScript code acting as a form grabber or a simple “cloud based” keylogger was injected into breached shops. As buyers filled in their payment details, the data was captured and sent in real time to the attacker.

This means that the information got stolen even if the seller worked according to PCI standards and did not keep credit card details in a database after purchase completion. This method is different than other ways of stealing payment details, such as infecting the buyer’s computer, implanting malware in Point of Sale terminals, or dumping entire databases from breached online shops.

In this post we analyze the malicious code and other parts of the campaign. RiskIQ, who we collaborated with on the investigation, dubbed this campaign Magecart. In parallel to this post, they are publishing a report reviewing other parts of the malicious infrastructure and compromised websites.

Security company Sucuri revealed parts of this campaign back in July 30. Since, the attackers kept registering new domains and used them to host malicious JavaScript files, later injecting them into breached online shops.

Looking at a dataset of 350 million ssl connections inspires some initial questions:

De nombreux et très bons outils comme Mozilla Observatory (qui en rassemble d’autres), Security Headers ou DareBoost testent et peuvent vous conseiller des améliorations, avec moult informations et explications fort bienvenues.

À noter, certaines de ces technologies sont encore plus efficaces ensemble, et peuvent même travailler de concert (notamment CSP et SRI, etc.).

The web is moving to HTTPS, preventing network attackers from observing or injecting page contents. But HTTPS needs TLS certificates, and while deployment is increasingly a solved issue thanks to the ACME protocol and Let's Encrypt, development still mostly ends up happening over HTTP because no one can get an

Avec le nombre élevé d’attaques informatiques ciblant les sites web sur la toile, il n’est nul besoin de rappeler que l’un des moyens essentiels de prévention contre ces piratages demeure l’adoption des mesures de sécurité comme le chiffrement des sites web.Let’s Encrypt, l’autorité de certification qui a lancé ses services publics en 2015, offre des outils dans ce sens avec la mise à disposition de moyens automatisés pour l’installation et le renouvellement de certificats gratuits

By Chris Palmer and Yan ZhuOriginally published on 15 Nov 2010. Most recent update: 9 Feb 2017.Internet technologists have always known that HTTP is insecure, causing many risks to users. Because HTTP traffic is unencrypted, any data sent over HTTP can be read

PKI : Infrastructure à clés publiques

Tim Berners-Lee
Date: 2015-02-15, last change: $Date: 2015/03/28 20:46:47 $
Status: personal view only. This is not a formal W3C director view, nor view of the TAG or the Consortium as a whole. It is a contribution to the discussion. This has been discussed in the TAG on a number of occasions.

It has long been a dream of ours for there to be a standardized protocol for certificate issuance and management. That dream has become a reality now that the IETF has standardized the ACME protocol as RFC 8555. I’d like to thank everyone involved in that effort, including Let’s Encrypt staff and other IETF contributors.

Having a standardized protocol for certificate issuance and management is important for two reasons. First, it improves the quality of the software ecosystem because developers can focus on developing great software for a single protocol, instead of having many pieces of less well maintained software for bespoke APIs.

Depuis la version 1.15.2, NGINX a ajouté une fonctionnalité qui permet de faire une distinction entre un flux HTTPS et un autre flux TCP arrivant sur un même port. Ça permet par exemple de faire tourner en même temps sur le port 443 un service Web en HTTPS et un service VPN ou SSH. Et ainsi passer outre certains pare-feux restrictif qui ne laissent pas passer certains flux (Git, SSH, DNS personnalisé).

Cet article examine ce qui arrive quand un utilisateur soumet un formulaire — où les données vont-elles et comment les gère-t-on une fois à destination ? Nous examinerons aussi quelques problèmes de sécurité associés à l'envoi des données d'un formulaire.

Offrir une alternative HTTPS de votre site ne suffit pas à automatiquement sécuriser les échanges avec vos visiteurs. Découvrez HSTS, une méthode pour sécuriser les accès à vos domaines… dès la première connexion.

L'autorité de certification Let's Encrypt annonce que le très populaire server HTTP Apache supportera bientôt le protocole ACME.