Faut-il être hébergé chez vous pour faire appel à vous sur la sécurité ?

Non. Nous auditons et sécurisons des dispositifs que nous n'avons ni construits ni hébergés, y compris quand le site a été livré par une autre agence et que l'hébergeur est un tiers. Nous avons seulement besoin d'un périmètre convenu par écrit et des accès nécessaires. Si l'audit conclut qu'il faut aussi changer d'hébergement, nous vous le dirons, sans en faire la condition de l'intervention.

Quelle différence entre un scan, un audit et un test d'intrusion ?

Le scan est automatisé et récurrent : il détecte les vulnérabilités connues sur les dépendances et les configurations. L'audit est humain et documentaire : il examine la configuration, les droits, les flux et la conformité, et produit un plan d'actions. Le test d'intrusion est offensif : sur un périmètre convenu, on tente réellement d'entrer et on documente ce qui a fonctionné. Les trois sont complémentaires, et l'audit est presque toujours le bon point de départ.

Combien de temps prend une mise en sécurité, et par quoi ça commence ?

Ça commence par un diagnostic d'exposition, qui se mène en quelques jours et ne demande presque rien à vos équipes. Vient ensuite un plan classé par gravité et par effort : les corrections critiques partent dans la semaine, le durcissement et la mise en place du WAF se planifient sur quelques semaines, et les chantiers structurants s'étalent selon vos moyens. Nous ne bloquons jamais un plan sur son dernier lot.

Que faites-vous si nous sommes déjà attaqués ou compromis ?

Nous qualifions d'abord, pour distinguer une compromission réelle d'un faux positif. Puis nous confinons, nous corrigeons, nous remettons en service, et nous écrivons ce qui s'est passé et ce qui évite la récidive. Nous avons ce réflexe parce que nous exploitons nous-mêmes des dispositifs en production : lors d'une faille critique publiée sur Drupal, nous avons organisé la mise à jour de l'ensemble de notre parc en 72 heures.

Est-ce que durcir la sécurité va ralentir le site ou gêner nos équipes ?

C'est la crainte légitime, et le vrai risque du métier : un dispositif sûr mais inutilisable finit contourné. Nous venons du développement web, donc nous tenons le référencement, les temps de réponse et les parcours de conversion comme des contraintes de même niveau que la sécurité. Un WAF se règle, un cache se conserve, un SSO simplifie la vie des contributeurs plutôt que de la compliquer.

Cybersécurité web : protégez vos sites, vos données et votre activité

La sécurité de vos sites et applications repose autant sur leur développement que sur leur hébergement et leur suivi au quotidien. Nous identifions les failles, renforçons les protections et préparons les mesures nécessaires pour rétablir vos services en cas d’incident. Applications, accès, serveurs, sauvegardes : nos équipes interviennent sur l’ensemble, en lien avec votre équipe informatique et vos prestataires, ou dans le cadre de notre offre d’hébergement infogéré.

Besoin d'un audit de sécurité ?

Fédération Nationale des Banques Populaires

Notre expertise du web au service de la sécurité de vos sites et applications

La plupart des attaques que subissent nos clients ne visent pas leur système d'information : elles visent leur site, leur extranet, leur API. Des robots qui testent des mots de passe, une dépendance open source vulnérable, un plugin oublié, un back-office exposé, un formulaire noyé de spam.

Nous développons et exploitons des sites et des applications métier. Cette expérience nous permet de renforcer la sécurité de vos plateformes WordPress, Drupal, Symfony ou PrestaShop en tenant compte de leur fonctionnement : les usages de vos équipes, les parcours de vos visiteurs, le référencement et les ventes. Nous corrigeons les failles et vérifions que les protections mises en place préservent les fonctionnalités utiles.

Nous vous aidons aussi à décider où agir en priorité. Vos équipes informatiques disposent des constats techniques et des corrections à prévoir avec votre direction qui comprend les risques pour l’activité, les priorités et les moyens nécessaires.

Voir notre article sur le bug bounty

Une sécurité qui couvre vos applications et leur hébergement

Une application bien protégée dépend aussi des serveurs qui l’hébergent, des accès qui permettent de l’administrer et des moyens prévus pour la remettre en service. Nous travaillons sur ces différents aspects pour construire une protection cohérente, adaptée à l’importance de vos services et aux données qu’ils traitent.

Repérer les points faibles de vos sites et applications

Corriger en priorité ce qui menace votre activité

Renforcer la sécurité de vos sites et applications

Repérer les points faibles de vos sites et applications

Une ancienne version de votre site encore accessible, une extension qui n’est plus maintenue, des comptes administrateurs devenus inutiles : certaines faiblesses passent facilement inaperçues au quotidien.

Nous examinons votre hébergement, vos applications et leurs accès pour identifier les points à sécuriser. Nous vérifions aussi les échanges de données et les services accessibles depuis Internet, comme vos API. Vous obtenez une vision claire des problèmes constatés et des risques associés.

Corriger en priorité ce qui menace votre activité

Toutes les failles ne présentent pas le même risque. Certaines demandent une intervention immédiate mais d’autres peuvent être traitées lors d’une maintenance planifiée.

Nous vous proposons un plan d’action qui tient compte de la gravité des problèmes, de leurs conséquences possibles et du travail nécessaire pour les corriger. Mises à jour, renforcement des accès, protection des formulaires ou réglages du serveur : nous réalisons les interventions convenues et vérifions leur résultat.

Renforcer la sécurité de vos sites et applications

Mises à jour, gestion des comptes, protection des interfaces d’administration et des échanges de données : nous adaptons les mesures à vos usages et vérifions leur effet sur le fonctionnement du site.

Nous renforçons les accès d’administration, séparons les environnements et mettons en place les protections nécessaires : filtrage des attaques, chiffrement adapté aux données et aux échanges, surveillance et mises à jour.

Nous pouvons intervenir avec votre hébergeur ou prendre en charge ces sujets dans notre offre d’hébergement infogéré, avec des responsabilités et des engagements de service clairement définis.

L'équipe technique de Digital Garden en open-space, écrans de code et de supervision

Trois niveaux d’accompagnement selon vos besoins

Corriger les failles et renforcer les protections essentielles

Intégrer la sécurité au suivi de vos plateformes

Renforcer le suivi des plateformes sensibles

Corriger les failles et renforcer les protections essentielles

Pour une PME, une collectivité ou une équipe marketing qui souhaite sécuriser son site et traiter les problèmes prioritaires.

Corriger les vulnérabilités critiques et mettre à jour les composants concernés.
Renforcer la sécurité du site et de son hébergement.
Vérifier les comptes administrateurs et les droits d’accès.
Mettre en place un filtrage des attaques et des robots malveillants.
Sécuriser les accès utilisés pour les mises en ligne.

Nous définissons un premier périmètre d’intervention à partir du diagnostic, avec des priorités et un calendrier clairs.

Intégrer la sécurité au suivi de vos plateformes

Pour une équipe informatique ou digitale qui fait évoluer régulièrement ses sites et applications et souhaite mieux encadrer leur sécurité.

Contrôler le code et les composants utilisés pendant le développement.
Séparer les environnements de test et de production.
Renforcer la surveillance et conserver les traces utiles pour analyser un incident.
Organiser des audits et des revues de sécurité régulières.

Nous intervenons sur ces sujets pour des plateformes comme celles de l’ADEME, du Fonds social européen, de l’Aéroport de Nantes et de Manitou, selon les exigences propres à chaque projet.

Renforcer le suivi des plateformes sensibles

Pour les organisations dont les services en ligne jouent un rôle critique, traitent des données sensibles ou doivent répondre à des exigences de sécurité renforcées.

Nous construisons avec vos équipes un programme de suivi : audits approfondis, tests d’intrusion, contrôles récurrents et préparation à la gestion des incidents. Nous précisons également les responsabilités de chacun et les procédures de remise en service.

Cet accompagnement prend différentes formes : tests d’intrusion pour Parade Connect et les applications métier de VM Matériaux, scans récurrents pour Manitou, corrections à la suite des audits menés par le prestataire de l’Institut de Cancérologie de l’Ouest, ou application des prescriptions de la division sécurité de l’Aéroport de Nantes.

La formation des contributeurs et la définition des règles de sécurité complètent ce travail.

Ce que nous pouvons prendre en charge

Nous définissons les interventions à partir de votre situation, des risques identifiés et de vos priorités. Vous pouvez nous confier un besoin précis ou un accompagnement plus large.

Diagnostic d'exposition

Repérer ce qui est accessible depuis Internet : sites, services, interfaces d’administration et anciens environnements. Nous identifions les accès à vérifier et les premières mesures à prendre.

Audit de sécurité technique

Examiner la configuration de vos serveurs, les composants de vos applications et les droits d’accès. Vous disposez d’un état des lieux et de recommandations classées par priorité.

Tests d’intrusion

Tester, sur un périmètre convenu avec vous, les possibilités d’accès non autorisé à vos applications et à vos données. Le rapport détaille les failles exploitées, leurs conséquences et les corrections recommandées.

Protection contre les attaques et les robots malveillants

Mettre en place et régler un pare-feu applicatif (WAF) et des protections contre les comportements abusifs. L’objectif : filtrer les requêtes malveillantes tout en préservant l’accès de vos utilisateurs légitimes.

Renforcement de la sécurité des sites et applications

Sécuriser vos plateformes WordPress, Drupal, Symfony, Node.js ou PrestaShop : mises à jour, droits des utilisateurs, administration et formulaires. Nous adaptons les protections au fonctionnement de chaque application.

Connexion unique et gestion des accès

Relier vos applications à votre annuaire d’entreprise pour simplifier la connexion et centraliser les accès (SSO). Nous définissons les droits par profil et les règles de retrait des accès lorsqu’une personne change de fonction ou quitte l’organisation.

Sécurité du développement et des mises en ligne

Intégrer des contrôles du code et de ses composants avec des outils comme Snyk et SonarQube. Les revues de code, les tests et la séparation des environnements complètent ces vérifications avant la mise en production.

Gestion des incidents

En cas de faille critique ou de compromission, évaluer la situation, limiter les conséquences et organiser les corrections puis la remise en service. Un compte rendu précise les constats, les actions réalisées et les suites à prévoir.

Hébergement sécurisé et continuité de service

Hébergement infogéré, surveillance, chiffrement, sauvegardes et redondance : nous définissons une architecture adaptée à vos besoins de disponibilité. Les procédures de reprise et les engagements de service sont précisés dans notre offre d’hébergement.

Ces situations vous parlent ?

Une demande client, un comportement inhabituel sur votre site ou un manque de suivi peuvent vous amener à faire le point sur votre sécurité.

Un client vous demande de remplir un questionnaire de sécurité, et vous manquez d’informations pour lui répondre.

Votre site envoie des messages indésirables ou des pages inconnues apparaissent dans les résultats Google.

Votre site fonctionne, mais vous ne savez pas quand ses extensions ont été mises à jour ni qui en assure le suivi.

Votre direction ou votre assureur vous demande de présenter les mesures de sécurité en place et les contrôles réalisés.

Commençons par regarder 🔍

Parlons-en !

Pourquoi confier votre sécurité web à Digital Garden ?

Une expérience du développement et de l’hébergement

Des protections adaptées à vos usages

Des explications utiles pour décider

Une équipe à proximité, à Nantes, Laval et Paris, joignable quand il y a urgence.

Parlons-en !

Les outils que nous mettons en œuvre

CrowdSec est une solution open source de cybersécurité collaborative qui analyse les comportements suspects sur les serveurs pour détecter les attaques en temps réel. Elle bloque automatiquement les IP malveillantes grâce à une base mutualisée, tout en restant légère, adaptable et respectueuse de la confidentialité des données.

Cloudflare combine un pare-feu applicatif (WAF), un réseau de diffusion de contenu (CDN) et une protection anti-DDoS mondiale. Le WAF filtre les attaques avant votre serveur, le CDN rapproche les contenus de vos visiteurs et améliore les temps de réponse à l'international. Nous le déployons quand le trafic est dispersé ou l'exposition élevée.

Snyk détecte les vulnérabilités dès le développement, dans votre code comme dans ses dépendances open source et ses conteneurs, avec des correctifs proposés plutôt que de simples alertes. Intégré à votre chaîne d'intégration continue, il fait de la sécurité une étape automatisée de la livraison et non un audit de fin de projet. C'est ce qui nous permet de tenir la vitesse du développement assisté par IA sans transiger sur la fiabilité.

SonarQube analyse en continu la qualité et la maintenabilité de votre code : bugs, duplication, complexité, failles potentielles, couverture de tests. Son quality gate bloque ce qui ne respecte pas vos standards, plutôt que de s'en remettre au jugement au cas par cas. Intégré à votre intégration continue, il garde la dette sous contrôle et garantit qu'un code, y compris généré avec l'IA, reste lisible et transmissible.

ClamAV est un moteur antivirus open source que nous déployons sur les environnements hébergés, avec un balayage quotidien des fichiers déposés et des répertoires applicatifs. Il détecte les charges malveillantes glissées par un formulaire d'upload ou un compte compromis. Une brique modeste, mais indispensable au socle de sécurité d'un hébergement.

« La sécurité n'est jamais un coût, jusqu'au jour où son absence devient un problème. Une démarche cyber efficace, c'est avant tout une démarche simple, opérationnelle et bien expliquée. »

Aurélien Dacier

Directeur technique