Sécuriser un site Dokos
Sécuriser un site Dokos
S'applique à : auto-hébergé et Dokos Cloud. Sur Dokos Cloud, l'équipe Dokos gère le serveur, HTTPS, les mises à jour et les sauvegardes. Les réglages du site restent à votre charge.
Cette page résume les mesures à prendre et renvoie aux pages qui les détaillent. Passez-la en revue à la mise en service, puis une fois par an.
Serveur (auto-hébergé)
| Mesure | Comment |
|---|---|
| Accès en HTTPS uniquement | Créer un certificat. Avec Docker, voir Installation Docker. |
| Système et Dokos à jour | Mettre à jour Dokos. Les correctifs de sécurité arrivent par les mises à jour mineures. |
| Ports limités | N'exposez que les ports 80 et 443. La base de données et Redis ne doivent pas être accessibles depuis Internet. |
Mot de passe Administrator changé | Changez le mot de passe par défaut dès l'installation (admin avec Docker). |
| Scripts serveur désactivés si inutiles | Ils sont désactivés par défaut. N'activez server_script_enabled que si vous en avez besoin. |
Comptes et connexion
Ces réglages sont dans Paramètres Système, onglets Connexion et Mot de passe.
| Mesure | Réglage |
|---|---|
| Authentification à double facteur | Cochez Autoriser l'authentification à double facteur, puis choisissez la Méthode d'Authentification à Double Facteur (application OTP, SMS ou email). Voir Authentification à deux facteurs. |
| Mots de passe robustes | Activer la Politique de Mot de Passe (coché par défaut) et Score Minimum de Mot de Passe |
| Blocage après échecs | Autoriser les tentatives de connexion consécutives (10 par défaut) et Nombre d'échecs maximum de connexion (délai en secondes, 60 par défaut) |
| Sessions | Afficher l'expiration (durée d'inactivité) et Autoriser une seule session par utilisateur |
| Réinitialisation | Déconnecter de toutes les sessions au changement de mot de passe (coché par défaut) |
Désactivez les comptes des personnes qui quittent l'organisation au lieu de les supprimer : l'historique reste lisible.
Droits d'accès
- Donnez à chaque utilisateur les rôles dont il a besoin, pas plus. Voir Rôles et autorisations.
- Limitez l'accès à certaines sociétés ou certains documents avec les restrictions utilisateur.
- Réservez le rôle Responsable système à un petit nombre de personnes. Il donne accès aux sauvegardes, à la clé de chiffrement des sauvegardes et à la configuration.
Traçabilité
| Journal | Contenu |
|---|---|
| Journal d'activité | Connexions, déconnexions et actions principales des utilisateurs |
| Journal d'accès | Exports, impressions et téléchargements de documents |
| Journal des Erreurs | Erreurs techniques du site |
La durée de conservation de chaque journal se règle dans Paramètres des journaux. Ces journaux restent sur votre site. Dodock n'envoie aucune donnée de télémétrie : voir Confidentialité et télémétrie.
Sauvegardes
- Cochez Crypter les sauvegardes dans Paramètres Système, onglet Sauvegardes, si les sauvegardes sont copiées vers un stockage externe.
- Gardez la clé
encryption_keydu site et la clé de chiffrement des sauvegardes hors du serveur. - Testez une restauration au moins une fois par trimestre.
Voir Sauvegarder et restaurer.
Données personnelles (RGPD)
Dodock fournit deux documents pour répondre aux demandes des personnes concernées :
- Demande de téléchargement de données personnelles : export des données d'un utilisateur du portail.
- Demande de suppression de données personnelles : suppression ou anonymisation de ces données.
Vérifier
Un Responsable système ouvre Aide > System Health. La section Utilisateurs indique les Connexions en échecs des 30 derniers jours et les Sessions Actives. Un nombre élevé d'échecs de connexion signale une tentative d'intrusion : vérifiez le Journal d'activité.