SensCyber : la sensibilisation cyber gratuite de l’État pour vos équipes et vos proches

Posté le de — Aucun commentaire ↓
La licorne Geekeries explique le phishing, l’authentification et les sauvegardes à deux élèves, pour la sensibilisation SensCyber.

Hello à tous, on se fait un Quicky sensibilisation aujourd’hui ? Combien de fois un proche, un gérant de petite entreprise ou un collègue non technique vous a-t-il demandé : « Dis, tu n’aurais pas un petit cours simple pour expliquer la sécurité informatique à mes équipes sans que ça nous coûte un bras ? » Dans les grandes structures, on déploie des plateformes SaaS d’e-learning payantes, mais pour une TPE, une association ou sa propre famille, l’offre est souvent inexistante ou rébarbative.

C’est précisément ce vide que comble SensCyber, le dispositif officiel d’e-sensibilisation développé par Cybermalveillance.gouv.fr, désormais accessible gratuitement à tout le monde.

Un module grand public bien ficelé

Loin des pavés théoriques indigestes, le parcours est pensé pour être bouclé en moins de deux heures et se découpe en trois étapes progressives :

  1. Comprendre les menaces : démystifier les cyberattaques les plus courantes sans catastrophisme (phishing par email ou SMS, faux support technique, escroqueries aux faux ordres de virement ou aux faux avis d’imposition).
  2. Agir au quotidien : ancrer les gestes d’hygiène élémentaires (gestionnaire de mots de passe, double facteur d’authentification, réflexes de sauvegarde hors ligne et mises à jour logicielles).
  3. Transmettre autour de soi : encourager
… Lire la suite

Docker et Portainer part 13 : Authentik avec Nginx Proxy Manager et des passkeys

Posté le de — Aucun commentaire ↓
La licorne Geekeries présente deux clés de sécurité devant un portail d’identité qui protège plusieurs applications derrière un proxy

Salut à tous, aujourd’hui on regarde comment déployer Authentik devant son Nginx Proxy Manager. Si vous vous rappelez j’ai plusieurs services web derrière mon reverse proxy NPM (et presque autant de façons de me connecter à chacun d’eux). Une Basic Auth par-ci, un compte local par-là, puis un autre mot de passe dans l’application elle-même. Cela fonctionnait, mais la collection de creds commençait sérieusement à ressembler à un élevage industriel (avez vous entendus parler de bitwarden notre sauveur?).

Bref, je voulais donc mettre en place un SSO : une seule identité, une authentification forte avec mes YubiKeys ou une passkey, puis des droits différents selon l’application. Comme tout passait déjà par mon reverse proxy, le projet s’est assez naturellement transformé en déploiement d’Authentik avec Nginx Proxy Manager.

Le but n’était pas de remplacer NPM. Il sait déjà très bien publier les services, gérer les certificats TLS et envoyer chaque requête au bon conteneur. Authentik devait seulement lui apporter ce qui lui manquait : savoir qui se présente et décider s’il a le droit de passer.

Bienvenue dans la treizième partie de ma série Docker et Portainer. Celle où l’on remplace enfin les petites fenêtres grises … Lire la suite

Scams WhatsApp et SMS : que faire et où signaler ? Le mémo pratique

Posté le de — Aucun commentaire ↓
Face à un scam WhatsApp ou SMS, la licorne Geekeries fait un geste d’arrêt devant les symboles de signalement et de blocage.

Hello à tous, on se fait un Quicky d’utilité publique aujourd’hui ? « Coucou maman, j’ai cassé mon téléphone, écris-moi sur ce numéro », fausse livraison de colis en attente, faux virement urgent ou escroquerie à la réservation d’hôtel… Nous avons tous déjà reçu ces messages, que ce soit par SMS ou directement sur WhatsApp. Et la question revient invariablement dans nos cercles familiaux : « Qu’est-ce que je dois faire ? »

Entre ceux qui répondent pour insulter l’escroc et ceux qui suppriment le message sans rien faire, voici le petit mémo des bons réflexes et des numéros officiels de signalement à garder sous le coude.

Les deux réflexes immédiats

  1. Ne répondez jamais et ne cliquez sur aucun lien : répondre, même par dérision, confirme aux attaquants que votre ligne téléphonique est active et attribuée à une vraie personne. Votre numéro est alors reclassé dans une liste « chaude » et revendu à d’autres réseaux d’escrocs.
  2. Signalez et bloquez directement dans WhatsApp : ouvrez la conversation, touchez le contact en haut de l’écran, puis choisissez « Bloquer et signaler ». En effectuant ce geste, WhatsApp reçoit automatiquement les cinq derniers messages échangés afin de qualifier la fraude
… Lire la suite

Optimiser WordPress : Pnwy sous Stéroide !

Posté le de — Aucun commentaire ↓
La licorne Geekeries allège une page WordPress en retirant une police et des fichiers inutiles

Salut à tous, j’ai profité d’une maintenance récente pour enfin (ré)optimiser le WordPress de Geekeries.org. Pas en installant un énième plugin miracle, mais en regardant ce que le navigateur chargeait vraiment.

Le site n’était pas à genoux. Il fonctionnait, les pages s’ouvraient, et personne ne m’avait signalé de catastrophe. PageSpeed lui me scorait pourtant à 72 sur mobile et 73 sur ordinateur. Le plus visible était le décalage de mise en page : le logo arrivait sans dimensions réservées et poussait le contenu pendant le chargement.

J’ai donc repris la chaîne complète, du reverse proxy jusqu’au navigateur, avec deux règles assez simples : une modification à la fois, et un retour arrière prêt avant de toucher à la production. Pwny m’a aidé à faire l’inventaire et à préparer les contrôles, et les appliquer mais chacun autorisé et vérifié manuellement.

Le serveur n’était pas le principal coupable

Une requête sur le site suit ce chemin : visiteur → Nginx Proxy Manager → Nginx et PHP → WordPress → MariaDB et Redis. Mon premier réflexe aurait pu être de régler PHP-FPM ou d’ajouter encore du cache. Les mesures racontaient autre chose.

Une fois la page anonyme servie à chaud, le TTFB… Lire la suite