Une révolution est en marche dans le domaine du développement informatique : Docker Git.

Depuis quelques années un nouveau mouvement se répand dans le monde du développement informatique : le « DevOps ». L’objectif de cette nouvelle mouvance est d’allier développeurs et administrateurs système afin d’assurer une parfaite collaboration entre ces deux parties du développement à la mise en production. Ainsi pour suivre ce mouvement, nous avons mis en place deux outils s’intégrant parfaitement dans le cadre « DevOps » : Docker et Git.

Docker

Le premier, Docker est un système qui permet aux développeurs de travailler au plus près des environnements de production. Les développeurs peuvent directement coder, déboguer, tester sans altérer les systèmes en production grâce à un environnement de production virtuel. Les bénéfices ?
• Pas d’altération de l’expérience de navigation durant les développements pour l’utilisateur final.
• Plus de « bogues surprises » du fait des différences entre environnements de développement et de production pour le développeur.
• Un gain de temps pour la mise en production des projets pour le client.

Git

Le second, GIT est un système de versionning. Historiquement seules les sauvegardes journalières des projets permettaient de retourner à une version antérieure. En cas de retour le processus de comparaison pour identifier les morceaux de code à récupérer et à fusionner était long et fastidieux. Avec GIT, le suivi des projets est plus précis, chaque modification est identifié et enregistré, fichier par fichier, ligne par ligne. Ainsi les retours en arrière sont facilités et un meilleur suivi de projet est assurer. Mais ce qui fait la puissance de cet outil c’est qu’il permet de figer un projet à un instant T ou le projet est stable et prêt pour la mise en production. Ainsi les développeurs peuvent continuer à apporter des modifications au projet sans altérer la version stable en production.

Docker Git

L’intégration de ces deux outils nous permet de s’inscrire dans cette optique « DevOps ». Nous ne suivons pas simplement une tendance actuelle. Nous améliorons nos processus de développement pour proposer des développements de plus en plus qualitatifs.

Guacamole : Une connexion RDP dans un navigateur web

Guacamole est un service qui permet de mettre en place des connexions VNC, RDP (connexion bureau à distance) ou SSH.
Ce script en html5 nous permet d’accéder à un serveur Microsoft installé sur une machine virtuelle via un simple navigateur.

Guacamole est sous licence open source et suivi par la fondation Apache.

Ce service propose de nombreux  avantages :

• Pas d’installation sur les postes clients
• Centralisation sur un serveur avec accès possible à partir de plusieurs sites géographiques
• Sauvegarde de la machine virtuelle via des snapshots
• Possibilité de dupliquer la configuration à moindre cout

Nous pouvons ainsi proposer nos développements Windows à nos clients en mode SAAS. Cela permet également de s’affranchir des contraintes sécuritaires de certaines sociétés, un simple accès internet suffit.

Exemple de serveur Microsoft server 2012 sous Chrome :

Le nouveau Framework de Diagram V5Pro, nous permet de développer des sites web optimisés pour le référencement naturel.
Le client accède également à un backoffice ou il retrouve la gestion complète de son site.
Le backoffice peut-être entièrement personnalisé.

En parallèle de notre solution d’envoi de mails qui vous permet d’améliorer la délivrabilité, nous venons de développer une solution vous permettant de suivre vos envoies d’emails afin de vous assurez que ceux-ci sont bien arrivés dans la boite mail du destinataire.

Vous serez également averti en cas de problème de délivrabilité, de boite mail pleine, d’erreur sur l’adresse du destinataire…

Formation sécurisation des sites web

Nos équipes suivent régulièrement des formation permettant d’optimiser la sécurité des sites internet ainsi que les serveurs.

Afin d’apporter un service encore meilleur à nos clients, nous avons suivi une formation intra-entreprise sur la sécurisation informatique. Ces formations portaient sur la sécurisation des sites internet et la sécurisation des serveurs web. Nous avons également suivi des formations sur les bonnes pratiques à suivre pour éviter toutes failles de sécurité.

Nous avons fait notamment appel à la société société iTrust pour nous former ; iTrust est spécialisé dans tous ces domaines et réalise pour nous des audits sur certains de nos sites les plus sensibles.

Lors de ces formations nous avons abordé les principales attaques ainsi que les moyens pour s’en prémunir :

• XSS : faille XSS qui permettent de modifier du code dans des pages générée via une injection dans des champs vulnérables
• SQL Injections : cette attaque peut autoriser l’accès à un contenu protégé ou dévoiler des informations cachée
• XXE : basé sur l’interprétation de fichier XML envoyés par un client
• CSRF : permet d’acquérir une partie des droits de la victime en lui faisant exécuter des actions s’en qu’il en ai conscience
• RFI /LFI : permettent l’accès à des fichiers « sensible » du serveur et potentiellement à prendre la main sur la machine
• Upload : l’envoie de fichier est une source de risque très importante, les réceptions de fichiers doivent être gérés de manière très scrupuleuse
• NoSql Injection : le principe est le même que pour les injections SQL
• LDAP Injection : idem que les injections SQL mais pour les informations que l’on retrouve dans les annuaires LDAP
• Server Code Injection : exploitation d’une faille de sécurité du serveur
• HTTP Responce Splitting : consiste a envoyer des données qui modifie l’entête http

Les principaux sites référents

Pour avoir des explications sur toutes ces attaques et bien plus encore, vous pouvez consulter le site de l’OWASP qui fait référence en la matière.

L’OWASP met également à disposition un outil très intéressent qui nous permet de nous assurer que nos sites sont toujours sécurisés et prennent bien en compte les nombreuses évolutions en la matière : OWASP ZAP

OWASP Zed Attack Proxy.

Nos outils pour sécuriser un site web

Nous utilisons également les différents outils de la distribution KALI qui met à disposition de nombreux programmes permettant de tester les failles de sécurité. Certains de ces outils sont spécifiques pour des CMS (WordPress, Joomla…) ou pour un type de faille bien précis (injection SQL)… Tous ces outils sont dédiés pour sécuriser un site web.

Audit sécuriser un site web

Nous pouvons également faire un audit de sécurité de votre site web, quelques soit le cms que vous avez utilisé pour le développer. Nous auditerons le code source de votre site ainsi que le serveur qui héberge celui-ci. Diagram fait également appel à d’autres sociétés comme iTrust ou Orange Cybersécurité pour faire des audits externe de nos propres programmes.