Le niveau de sécurité d'ABAXINFO est globalement sain. Aucune faille critique exploitable n'a été détectée sur le site web, et les protections de base du nom de domaine sont en place.
Il reste deux actions à réelle valeur :
@abaxinfo.com.Aucune action n'est urgente au sens « incident en cours », mais la première (DMARC) protège contre la fraude par email, aujourd'hui le risque n°1 des PME.
Chaque terme technique est défini à sa première apparition, afin de rester lisible sans expertise informatique.
Le site www.abaxinfo.com est hébergé sur Wix, une plateforme « managée » : entretien du serveur, correctifs, chiffrement et protection contre les attaques de saturation sont assurés par Wix. Cela réduit fortement la surface de risque — pas de logiciel serveur à maintenir soi-même (pas de WordPress ni de base de données auto-hébergée).
Les emails sont gérés via Microsoft 365 (messagerie Outlook), avec une passerelle anti-spam Mailinblack en amont pour filtrer le courrier entrant.
Le nom de domaine abaxinfo.com est enregistré chez Gandi (le « registrar », organisme auprès duquel le domaine est loué), qui héberge aussi la zone DNS — le DNS (Domain Name System) étant l'annuaire qui traduit abaxinfo.com en adresses techniques.
| Élément vérifié | Résultat | Évaluation |
|---|---|---|
| Redirection automatique vers HTTPS | Oui | ✅ Conforme |
| HSTS — HTTP Strict Transport Security (force le navigateur à toujours chiffrer la connexion) | Activé (~1 an) | ✅ Conforme |
| Certificat TLS — Transport Layer Security (le « cadenas » du navigateur) | Valide (renouvellement auto) | ✅ Conforme |
| Protection anti-détournement de type de fichier | Activée | ✅ Conforme |
| Exposition de fichiers sensibles (config, sauvegardes, code) | Aucune — tous bloqués | ✅ Conforme |
| Interface d'administration WordPress attaquable | Absente (pas de WordPress) | ✅ Conforme |
| En-tête CSP — Content Security Policy (limite les scripts exécutables) | Absent | ⚠️ Limite Wix |
| Protection anti-« clickjacking » | Absente | ⚠️ Limite Wix |
Lecture : les fondamentaux sont respectés. Les en-têtes manquants ne sont pas des négligences : la plateforme Wix ne permet pas d'ajouter ces en-têtes personnalisés. Pour un site vitrine, le risque associé est faible.
Trois mécanismes standard protègent contre l'usurpation d'identité par email :
| Mécanisme | Rôle | État actuel | Éval. |
|---|---|---|---|
| SPF Sender Policy Framework | Liste les serveurs autorisés à envoyer au nom du domaine | Présent (Microsoft 365, Mailgun, Autotask, SiPortal), mode « souple » | ⚠️ |
| DKIM DomainKeys Identified Mail | Signe chaque email pour prouver son authenticité | Présent (deux signatures actives) | ✅ |
| DMARC Domain-based Message Authentication | Décide quoi faire d'un email suspect et produit des rapports | Présent mais réglé sur « surveillance seule » (aucun blocage) | 🔴 |
@abaxinfo.com (fausse facture, « fraude au président ») sans qu'il soit automatiquement rejeté. C'est le principal levier d'amélioration.
Point secondaire — SPF : la configuration autorise quatre sources d'envoi. Le protocole SPF est limité à 10 vérifications techniques ; au-delà, il cesse de fonctionner silencieusement. Il conviendra de vérifier qu'on reste sous cette limite lors de la mise en œuvre.
| Élément vérifié | Résultat | Évaluation |
|---|---|---|
| Verrouillage anti-transfert (empêche le vol du domaine) | Activé | ✅ Conforme |
| Date d'expiration | 23 mars 2027 | ✅ Marge confortable |
| DNSSEC — DNS Security Extensions (signe l'annuaire DNS contre la falsification) | Non activé | ⚠️ À activer |
Lecture : le verrou anti-transfert — la protection domaine la plus importante — est déjà en place, ce qui écarte le risque de détournement du nom de domaine. Il reste à activer la signature DNSSEC.
Actions classées par rapport valeur / effort. Aucune ne présente de risque de coupure si elle est menée dans l'ordre indiqué.
Passage progressif en trois paliers, sur ~6 semaines, pour ne jamais bloquer un email légitime. Un seul enregistrement DNS à modifier chez Gandi.
Entre chaque palier, les rapports DMARC (déjà envoyés à global.admin@abaxinfo.com) sont analysés pour vérifier que tous les expéditeurs légitimes passent les contrôles. AXION fournit le texte exact de chaque enregistrement et accompagne la lecture des rapports.
ABAXINFO présente une posture de sécurité saine et sans faille critique : hébergement managé bien tenu, chiffrement correct, domaine verrouillé, signatures email en place. Les deux chantiers recommandés — renforcement DMARC et double authentification + DNSSEC — sont peu coûteux, sans risque de coupure, et couvrent le risque le plus réaliste pour une PME aujourd'hui : la fraude et l'usurpation par email.
AXION reste disponible pour mettre en œuvre ces actions et vérifier leur bonne prise en compte après déploiement.