Quelques bonnes pratiques de sécu/qualité que vous devriez sans doute mettre en place tôt dans la vie d’une boite tech web.
En 2022 vous n’avez pas de bonnes raisons de faire sans les 5 premiers.
SSO (Single sign on). Un truc type Okta, que vous mettez sur tous les SaaS qui le supportent. Vous devriez probablement aussi opter pour l’authentification multifacteurs. Compter quelques €/utilisateurs/mois.
Revue de code avant merge des PRs, pas de commit sur master/main. Github peut protéger certaines branches clé pour vous. Ca n’empêchera pas de mettre n’importe quoi en prod. Ne pas le faire est pire.
Intégration continue, tests automatisés. Ces dernières années, le coût d’entrée s’est drastiquement réduit avec des solutions type Github action. Vous n’avez pas d’excuses si vous n’avez pas de CI. (Attention à ne pas tomber dans le travers inverse: pré-client, vous avez besoin qu’on vous achète, pas
Déploiement automatisé. En plus d’être pénible, les opérations manuelles ont tendance à ne pas fonctionner quand on oublie une étape, qu’on ne se rend pas compte qu’elle n’a pas aboutie, ou qu’un nouveau n’a pas compris une subtilité du process.
Un modèle de menaces et un plan de remédiation. Prenez une journée pour réfléchir à différents scénarios critiques, et ce que vous devez faire si vous base de données est volée, si des données utilisateurs sont compromises, comment vous pouvez surveiller une intrusion. C’est plus facile de dérouler une checklist que de devoir l’inventer en cas de crises. C’est ce que font les pilotes d’avion, les astronautes…
Des backups chiffrés stockés hors-site de la base de donnée. Un réplicat vous aide pour les perfs, pas pour la sécu.
Automatisation de l’infrastructure, idéalement versionnée. Ansible, Terraform… Ce avec quoi vous êtes à l’aise. Les PaaS j’aime beaucoup, mais ca n’est pas versionné et peu automatisable ; le jour où tout tombe vous n’avez rien ou pas assez pour remonter votre infra.