Disclaimer

Tout ce qui sera dit dans cette présentation est légal, et a été obtenu de manière légale.

Si jamais je finis en prison, c'est à cause de JC.

Qui suis-je ?

Loïc Tosser "wowi42"
sysadmin hardcore, #2 sur PyInfra, chasseur de bullshit technique.
CTO @ Kalvad : CI/CD, systèmes critiques, architectures légères.

Aime : Python, FreeBSD, Alpine.

Déteste : Windows, YAML, Docker Desktop, les réunions inutiles.

ACTE 0

La situation de la tech en France

frenchbreaches.com

L'annuaire indépendant des fuites de données françaises.
Mis à jour tous les jours. Malheureusement.

Source : frenchbreaches.com, au 29/09/2026.

Levez la main

Qui ici s'est fait pourrir une app ou un serveur ces 12 derniers mois ?

Fuite, ransom, serveur qui mine de la crypto, PR mergée par un bot qui a tout cassé.

Ceux qui ne lèvent pas la main : soit vous mentez, soit vous ne le savez pas encore.

L'économie de la cyber a changé

• Avant : attaquer coûtait cher. Du temps, des compétences rares, du tooling.
• Maintenant : un LLM croise versions et CVE, rédige l'exploit et le phishing, pour le prix d'un abonnement.
• Le coût de l'attaque s'est effondré. Celui de la défense n'a pas bougé.
• Le défenseur doit avoir raison tous les jours. L'attaquant, une fois.

La cyber à la française

La gestion de crise numérique a ses traditions :

1. Une fuite de 15 millions de citoyens chez un opérateur public
2. Un communiqué : seuls les identifiants, adresses, RIB et numéros de Sécu ont été dérobés, mais aucun mot de passe (lol)
3. Un rapport au coût exorbitant commandé à un cabinet de conseil
4. Un Numéro Vert

Vous croyez que dans vos boîtes, c'est différent?

Troie avait les meilleurs remparts du monde antique.

Troie est tombée.

J'ai passé un mardi à regarder les remparts Cyber d'une ville française.
Ils sont magnifiques.
Attendez de voir la place du marché.

La méthode, avant tout

• Reconnaissance passive : DNS, en-têtes HTTP, certificat, ports
• Aucune intrusion. Aucune exploitation.
• Tout est visible depuis n'importe quel navigateur

Si ça se trouve en 20 minutes un mardi,
imaginez un attaquant motivé, avec un LLM.

Divulgation responsable

Tout ce qui suit a été signalé à la Ville de Nancy
le 14 septembre 2026 à 15h41. Mail délivré.

J'ai prévenu avant de venir.

La cible : famille.nancy.fr

Portail famille de la Ville de Nancy : cantine, crèche, périscolaire, facturation, paiement, justificatifs.

Données stockées : identité des enfants, fiches sanitaires, personnes autorisées, quotient familial (API CAF), pièces d'identité.

Éditeur : Technocarte. Hébergeur : Adista, à Maxeville. On est chez nous.

ACTE 1

Les remparts

(on applaudit, vraiment)

Ce qui est honnêtement bien fait

• TLS 1.2 et 1.3 uniquement, vieux protocoles refusés
• HSTS preload : max-age=63072000; includeSubDomains
• En-têtes de sécurité complets
• Ports filtrés, .git/HEAD en 403, pas de listing
• Détection d'automates côté serveur (actions non autorisées → déconnexion)
• Machine maintenue : reboot début septembre, fichiers à jour

Quelqu'un à Nancy a lu un guide de durcissement.
Sérieusement.
On applaudit.

L'économie du périmètre

• Tout ça coûte de l'argent : WAF, audits, certifications
• C'est l'investissement visible, mesurable
• Celui que l'assurance et les élus adorent
• L'argent va là où il y a un ROI visible

Et maintenant, on ouvre la porte d'entrée.

ACTE 2

Le cheval est déjà dedans

À Troie, le cheval est entré par la grande porte.
Ici, il est entré via composer install en 2011.
Et personne ne l'a jamais sorti.

Le musée

Ext JS 3.4.0 a l'âge d'un collégien.
Précisément l'âge des enfants dont le portail gère les données.
On appréciera la cohérence.

Le coût de l'archéologie

Pour savoir si PHPExcel est vulnérable quand on défend :
demander à l'éditeur, fouiller des docs mortes, deviner les versions.

Pour le savoir quand on attaque :
une requête à un LLM qui croise versions et CVE publiques.

Le défenseur fait de l'archéologie.
L'attaquant fait une requête.

Le SBOM, c'est cadeau

User-agent: *
Disallow: /phpmailer/
Disallow: /html2pdf/
Disallow: /PHPExcel/
Disallow: /tinymce/
Disallow: /configuration/
Disallow: /travail/
Disallow: /tmp/

On réclame des SBOM à tout bout de champ.
Celui-là est public, à jour, et personne ne le lit.

Vous avez tous un robots.txt.
Allez lire le vôtre.
Maintenant, pendant que je parle.

ACTE 3

Les détails qui trahissent

Le cheval qui crie son nom

HTTP/1.1 405 Not Allowed

<html>
<head><title>405 Not Allowed</title></head>
<body>
<center><h1>405 Not Allowed</h1></center>
<hr><center>nginx/1.26.1</center>
</body>
</html>

Version masquée dans l'en-tête Server… tatouée sur la page d'erreur.

Le rideau est tiré, la fenêtre est ouverte.
C'est de la sécurité par décoration.

Les cookies

PHPSESSID : HttpOnly, SameSite=Strict, bravo.
Mais pas de Secure, ni lui, ni techno_token.

On ferme la porte à clé et on laisse la clé sur la serrure.
Le drapeau coûtait zéro caractère.

L'authentification

• Identifiant : le N° Famille, un numéro séquentiel
• Mot de passe : maxlength=25
• Pas de MFA, pas de CAPTCHA

Devinez le numéro du voisin :
c'est le vôtre, plus un.

La CSP

script-src 'self' 'unsafe-inline' 'unsafe-eval' https:

Scripts inline OK. eval() OK. N'importe quel serveur HTTPS peut servir des scripts.

Traduction : bienvenue à tous.
Elle existe pour faire joli dans les audits.

Le détail qui pique

Le SSO OpenID Connect (Publik, en SaaS) est correctement implémenté : state, nonce, tout y est.

Les instances SaaS de l'éditeur envoient leurs cookies avec Secure.

Le seul morceau d'authentification moderne du site
est le seul que la collectivité ne maintient pas elle-même.
Faites-en ce que vous voulez.

ACTE 4

Le procès

Suspect n°1 : le dev

Celui qui a choisi Ext JS en 2011 a pris la bonne décision.
À l'époque.

On ne juge pas une erreur de 2011 avec les yeux de 2026,
on juge l'absence de greenkeeping depuis 2015.

Acquitté.

Suspect n°2 : l'éditeur

• Les instances SaaS envoient leurs cookies avec Secure
• Le vendor sait faire
• L'instance auto-hébergée de Nancy est en retard sur la configuration de référence de son propre éditeur

Coupable. Mais pas le seul.

Suspect n°3 : la collectivité

• Le périmètre est un modèle du genre → quelqu'un fait très bien son travail
• Mais personne, contractuellement, personne, n'est payé pour regarder dedans

L'audit se vend.
La certification se vend.
La maintenance ne se vend pas : pas de date de fin, pas de livrable, pas de photo dans la presse locale.
On achète des remparts. On ne paie personne pour être sur le chemin de ronde.

Verdict

La faute n'appartient à personne.

C'est exactement le problème.

ACTE 5

Le miroir

Celui qui a monté le périmètre fait un boulot magnifique.

Et celui qui a laissé pourrir l'intérieur ?

C'était quelqu'un qui faisait de son mieux. Quelqu'un comme vous. Quelqu'un comme moi.

On a tous, dans notre projet, une librairie qu'on n'ose plus regarder.

Personne ici n'est à l'abri d'être le prochain sur France Fuites.

La seule différence entre ce site et le vôtre, c'est que personne n'a encore passé un dimanche à vous regarder.

Avant de chercher le cheval chez les autres, demandez-vous quand vous avez regardé le vôtre pour la dernière fois.

ACTE 6

Le processus chiant, itératif et quotidien

Le greenkeeping

Le greenkeeping, ce n'est pas surveiller les murs, les murs tiennent tout seuls.
Le greenkeeping, c'est prendre le tournevis, ouvrir le cheval, et regarder ce qu'il y a dedans. Tous les jours.

Kesako?

• La sécurité n'est pas un formulaire à cocher une fois par an pour faire plaisir à l'assurance.
• Ce n'est pas non plus une certification ANSSI.
• C'est un processus chiant, itératif et quotidien.
• Comme le ménage. Personne ne fait le ménage une fois par an.

1. L'inventaire vivant

Une CVE sort → vous demandez à votre inventaire qui est vulnérable ? → réponse en 2 secondes → patch.

Peu importe l'outil : un script débile mais à jour
bat un outil enterprise à moitié déployé.

2. Le CI comme garde-fou

• SAST + scan de dépendances dans la CI
• Le build échoue sur les critiques

Le WAF à 50 k€ en mode log-only, on peut l'arrêter :
chaque euro de WAF est un euro pas dépensé
en revue de code et en tests.

3. Des alertes qui valent le coup d'être lues

• Log everything. Grep later.
• On n'alerte que sur les attaques réussies ou des indicateurs crédibles

Si votre astreinte se réveille pour chaque SYN bloqué,
vous avez entraîné votre équipe à ignorer les alertes.

4. Une équipe qui code

Si vos "security engineers" ne lisent pas de code, ce ne sont pas des security engineers, ce sont des pousseurs de paperasse avec un salaire plus haut que le vôtre.

L'IA aide : triage de logs, règles de détection, relecture de diffs.
Mais c'est un multiplicateur pour ceux qui comprennent.
Pour les autres, c'est un placebo plus cher.

L'écart n'est pas une question d'argent

• Bien : alerte → inventaire → patch → vérification dans les logs → note. 15 minutes.
• Sans inventaire, sans automatisation, équipe qui ne code pas : 3 à 5 jours, 40 tickets, et deux serveurs oubliés que l'attaquant trouve avant vous.

L'écart n'est pas une question d'argent.

C'est une question de culture.

Quoi faire lundi matin

1. Inventaire : listez vos dépendances, interrogez-la à chaque CVE
2. CI : scan de dépendances, le build échoue sur les critiques
3. Secure sur tous les cookies, partout, tout le temps
4. Lisez votre propre robots.txt et vos pages d'erreur comme un attaquant

ACTE 7

Le greenkeeping compulsif

Laisser un bot mettre à jour vos dépendances en roue libre,
c'est offrir votre base de données à l'Internet mondial
avec un nœud papillon.

Le bot n'est pas le problème

• Un Dependabot/Renovate qui propose, avec une CI qui teste : très bien
• Un bot qui merge et pousse en prod à 3h du matin sans tester : un attaquant avec un token

L'automatisation sans garde-fou, c'est du greenkeeping compulsif.
L'automatisation avec tests et revue, c'est le greenkeeping.

ACTE 8

L'audit PowerPoint

Quand votre équipe sécu écrit des synthèses
au lieu de lire du code et d'automatiser ses contrôles,
elle a déjà perdu.

Les attaquants ne lisent pas vos rapports.

Ils les ingèrent.

Le théâtre de la conformité

• La certification ISO encadrée dans l'open-space ne patch pas vos librairies
• L'audit annuel photographie un instant T, l'attaquant travaille 364 autres jours
• Un rapport de 200 pages que personne ne lit ne bloque aucune requête

La conformité est une conséquence de la sécurité. Pas l'inverse.

ACTE 9

La revanche du bon sens

(Léodagan FTW)

Mort à Next.JS, à la soupe YAML,
aux clusters Kubernetes ingérables
et aux 47 couches d'abstraction
qui cachent votre incompétence.

Tout cramer, repartir sur des bases saines

• Du vrai code, testable et auditable
• Des systèmes que vous comprenez assez bien pour les réparer à 3h du matin
• Avec un clavier, un câble RJ45 et une pinte de café

Chaque couche d'abstraction est un cheval que vous n'ouvrirez jamais.

Les murs de Troie ont tenu dix ans.
Ils ne sont jamais tombés.

Ce qui est tombé, c'est la ville,
parce qu'elle a ouvert ses portes toute seule.

Le cheval n'a forcé aucune porte :
les Troyens l'ont démonté, hissé,
installé au milieu de la place…
et ils sont allés dormir.

Votre périmètre tiendra aussi.
Ça n'a jamais été le problème.
Le problème, c'est ce que vous avez vous-mêmes
installé au milieu de votre forteresse,
et que personne n'a ouvert depuis 2011.

Apprenez à sécuriser votre prod avec votre tête

avant que l'État ne crée un ministère (et une taxe) dédié à la fuite de votre base de données.

Merci Valentin

Merci à Valentin pour les Apéros Web.