Aujourd’hui lors de la vérification régulière des 35 sites gérés par daiku une alerte inhabituelle remonte : le site d’une fleuriste qui nous fait confiance pour son hébergement s’est mis à consommer beaucoup plus de ressources qu’auparavant : il travaille visiblement pour quelqu’un d’autre. Pendant plusieurs jours, il a glissé dans ses pages de plus en plus de liens publicitaires douteux — paris en ligne, produits de contrefaçon — soigneusement dissimulés : visibles par les robots des moteurs de recherche seulement, ils restaient invisibles par la fleuriste et ses visiteurs. À l’écran, tout semblait effectivement normal, et le site n’avait pourtant jamais été négligé. Que s’est-il passé ? Cette mésaventure, banale et de plus en plus fréquente, dit quelque chose d’essentiel sur la manière dont on fabrique les sites web aujourd’hui — et sur leur fragilité cachée.
Pour la comprendre, une image. WordPress, le système qui équipe près de 40% des sites du monde entier, est une sorte de maison montée à partir de modules préfabriqués, fournis par des dizaines de petits ou grands éditeurs indépendants : un pour la galerie photo, un pour le formulaire de contact, un autre pour la timeline des saisons par exemple. Chacun de ces éditeurs envoie de temps à autre une amélioration de son module, que l’on installe en confiance — c’est même la bonne pratique, puisque les versions récentes sont censées corriger les défauts connus.
Mais qu’un seul de ces éditeurs vende discrètement son activité à quelqu’un de mal intentionné, et toute la mécanique se retourne. La mise à jour suivante contient une porte dérobée. Bien cachée dans le code, avec des noms proches de ce qu’on connaît, elle s’installe d’elle-même et se cache dans le système, silencieusement. Le cambrioleur n’a forcé aucune serrure : on lui a ouvert.
L’activation a été progressive, sept mois après la mise à jour malveillante, histoire de ne pas attirer l’attention. Plus de 200 000 sites ont été touchés par cette attaque.
Ce type d’attaque porte un nom : la compromission de la chaîne d’approvisionnement, ou supply chain. Le code malveillant ne s’introduit pas en brisant une protection, mais en empruntant le canal le plus légitime qui soit : la mise à jour. Dans le cas de la fleuriste, il s’était logé dans un fichier de configuration du site et interrogeait en silence un serveur distant pour savoir quels liens afficher — en ne les présentant qu’au robot d’indexation de Google, une technique de dissimulation appelée cloaking.
De là un paradoxe inconfortable. Ne pas mettre à jour, c’est laisser béantes des failles que le monde entier connaît. Mettre à jour, c’est renouveler sa confiance à chaque éditeur dont le site dépend — et un site WordPress en sollicite couramment dix ou vingt, autant d’auteurs tiers qu’il est impossible de surveiller un à un. La force de l’écosystème, son immense catalogue d’extensions, est aussi sa surface d’exposition. Plus il y a de pièces, plus il y a de portes.
C’est tout le sens du travail d’une agence comme la nôtre. La répartition est nette : au client son métier et ses contenus ; à l’agence l’atelier, sa surveillance et son entretien. Choisir les extensions avec discernement, suivre les mises à jour, et reconnaître au plus vite le jour où une marque de confiance bascule — on ne saurait demander à une fleuriste de savoir qu’une de ses extensions a changé de propriétaire et s’est mise à mal tourner. Son site a été nettoyé, la porte refermée, les accès renouvelés.
Reste une question de fond. Faut-il vraiment, pour une vitrine ou un blog, une machine qui réassemble chaque page à la demande à partir d’une base de données et d’une vingtaine d’extensions ? Souvent, non. Une autre voie existe : les sites en fichiers plats (flat files), faits de pages préparées une fois pour toutes et servies telles quelles, comme une brochure imprimée plutôt qu’un atelier en mouvement permanent. Moins de pièces mobiles, donc moins de portes ; plus difficiles à compromettre, plus rapides, et plus sobres — moins d’énergie consommée, un hébergement allégé.
Ce n’est pas la réponse à tout. Mais c’est une direction qui ressemble à un web choisi plutôt que subi : plus lent à se faire, plus durable une fois posé !
Pour en savoir plus sur l’attaque : Inside WordPress.com’s Security Response to the Essential Plugin Attack
Et, peut-être plus passionnant que les problèmes techniques : le site de la fleuriste en question !
