Hébergement
Sécurité
La sécurité de votre magasin en ligne est cruciale. Fort heureusement, avec une solution SaaS comme Zento vous n'avez plus à vous inquiéter pour cela.
Nous savons très bien que pour obtenir un système hautement protégé la sécurité doit être une priorité dès les premiers stades du processus de développement, et non pas une réflexion tardive, après-coup.
Du point de vue d'une application en production, la sécurité présente deux facettes :
- Sécurité de l'application
- Sécurité du système
La sécurité de l'application est la partie du code spécifiquement construit à cet effet et qui suit une multitude de meilleures pratiques auxquelles il faut adhérer des deux côtés, frontend et backend. Les développeurs ajoutent des protections contre un large éventail de vulnérabilités, tout en gardant à jour le framework et les librairies pour éviter l'exploitation des vulnérabilités connues des versions obsolètes. Les revues de code et les outils de test assurent la détection des erreurs et leur résolution dans les stades de développement, bien avant leur arrivée en production.
La sécurité du système fait référence à la sécurité de l'infrastructure qui supporte l'application. Le reste de cet article va se concentrer sur cet aspect pour couvrir les points suivants :
- Chiffrement du transport
- Isolation
- Sécurité des conteneurs
- Pare-feu
Chiffrement du transport
La sécurité commence avec le certificat (TLS) généré par AWS Certificate Manager et attaché à CloudFront pour faire passer toutes les connexions à votre boutique via HTTPS. Les certificats sont automatiquement émis chaque année par Amazon. Puisqu'ils sont attachés directement à CloudFront, la clé secrète n'est jamais disponible en téléchargement, cela réduisant le risque que le certificat soit compromis.
Le chiffrement au repos est utilisé pour les bases de données ainsi que pour le stockage de fichiers S3, bien que grâce au réseautage privé c'est impossible d'atteindre les données encryptées. Cependant, cette pratique étant un prérequis de sécurité dans de nombreux standards elle est aussi appliquée par Zento pour toutes les données.
Isolation
Outre le cryptage du trafic et le cryptage des données stockées, une autre bonne pratique appliquée par les systèmes de Zento est de minimiser le nombre de composants ayant un accès public via Internet.
Cela signifie que les bases de données communiquent via une VPC interne sans accès depuis l'extérieur ; de cette manière, aucune connexion à la base de données ne peut être faite depuis l'extérieur, gardant les données complètement protégées.
Les fichiers stockés dans S3 ont l'accès public bloqué également, la seule façon de les utiliser étant d'utiliser un autre service autorisé, ou via CloudFront, en suivant les chemins d'accès avec une permission explicite.
Sécurité des conteneurs
Zento tourne sur les technologies
Pour plus de sécurité, tout le code applicatif qui tourne sur Lambda et Kubernetes est exécuté dans des environnements lecture-seule, donc aucune vulnérabilité reposant sur la modification du code source ne peut être exploitée.
Pare-feu
Par-dessus tous les niveaux de sécurité faisant partie de l'architecture de la solution, tous les appels sont protégés par le pare-feu applicatif web d'AWS (Web Application Firewall ou WAF) qui est attaché à CloudFront pour détecter et bloquer toutes les attaques. Les fonctions Lambda sont aussi protégées contre des attaques de type DDoS (Distributed Denial of Service) et les moins connues EDoS (Economic Denial of Sustainability) ; ce nouveau type d'attaques consiste à inonder un site avec du trafic non pas pour le rendre inutilisable, mais plutôt avec le but d'augmenter ses coûts d'hébergement cloud.
WAF est constamment en évolution pour vous protéger contre tout nouveau type d'attaque.
La sécurité est importante, mais l'avantage d'utiliser une solution SaaS telle que Zento et que cela n'est plus votre souci.
