Sécurité du compte

Pour sécuriser votre compte Wolkra, activez l'authentification à deux facteurs, vérifiez les sessions actives, donnez à chaque membre de l'équipe le rôle le plus restreint possible, utilisez des jetons API limités et consultez régulièrement le journal d'activité. Vos serveurs ne sont pas plus sûrs que le compte qui les contrôle.

Authentification à deux facteurs (2FA)

Wolkra prend en charge le TOTP, les codes à six chiffres d'une application d'authentification.

1. Ouvrez les paramètres de votre compte dans la console.
2. Choisissez Authentification à deux facteurs puis Activer.
3. Scannez le QR code avec votre application d'authentification.
4. Saisissez le code affiché pour confirmer.
5. Conservez les éventuels codes de récupération fournis en lieu sûr, par exemple dans votre gestionnaire de mots de passe.

Dès lors, chaque connexion demande un code. Assurez-vous qu'au moins deux personnes de l'organisation disposent d'un accès owner ou admin avec la 2FA, pour que la perte d'un téléphone ne bloque pas tout le monde.

Connexion avec Google

Vous pouvez vous connecter avec votre compte Google au lieu d'un mot de passe. Dans ce cas, protégez le compte Google lui-même avec la validation en deux étapes, car il protège désormais aussi vos serveurs.

Mots de passe

Si vous utilisez l'e-mail et un mot de passe :

• utilisez un mot de passe long et unique, généré par un gestionnaire de mots de passe ;
• ne le réutilisez jamais sur un autre site ;
• changez-le immédiatement si vous soupçonnez une fuite, puis vérifiez les sessions.

Sessions actives

La console liste les appareils et navigateurs sur lesquels vous êtes connecté. Consultez cette liste et déconnectez toute session que vous ne reconnaissez pas, ou celles d'appareils que vous n'utilisez plus. Après un changement de mot de passe, déconnectez toutes les autres sessions.

Organisations, projets et rôles

Les ressources appartiennent à des projets au sein d'une organisation. Rôles de l'organisation :

En plus, des rôles par projet déterminent ce qu'un membre peut faire dans chaque projet. Un schéma courant :

• un projet production où seules quelques personnes peuvent modifier quelque chose ;
• un projet staging ou dev où les développeurs ont un accès complet ;
• une personne chargée de la facturation avec le rôle billing et sans accès aux serveurs.

Invitez des membres par e-mail depuis les paramètres de l'organisation. Retirez rapidement les personnes qui partent, et renouvelez les secrets partagés qu'elles connaissaient.

Journal d'activité

Le journal d'activité enregistre ce qui s'est passé dans l'organisation : qui a créé, modifié ou supprimé des ressources, et quand. Utilisez-le pour :

• voir qui a modifié un pare-feu ou supprimé un serveur ;
• repérer des modifications dont personne ne se souvient ;
• passer en revue les modifications après un incident.

Jetons API

Les jetons sont un point faible fréquent, car ils finissent dans des scripts et des systèmes de CI. Limitez-les au strict nécessaire :

• un jeton par usage, nommé d'après l'endroit où il est utilisé ;
• un accès en lecture sauf si l'écriture est nécessaire ;
• une liste d'IP autorisées pour les jetons utilisés depuis des adresses fixes ;
• une date d'expiration pour les travaux temporaires ;
• supprimez les jetons que vous ne reconnaissez pas.

Voir jetons API.

Protéger les ressources contre les erreurs

• Activez la protection contre la suppression pour les serveurs importants.
• Activez les sauvegardes et prenez des instantanés avant les gros changements.
• Utilisez des labels comme env=prod pour qu'on sache immédiatement à quoi sert un serveur.

Sécurité sur les serveurs

La sécurité du compte et celle des serveurs vont de pair. Sur chaque serveur :

• connectez-vous uniquement avec des clés SSH (guide des clés SSH) ;
• maintenez le système à jour et activez un pare-feu (sécuriser un serveur Ubuntu) ;
• utilisez un pare-feu cloud pour limiter SSH à des adresses connues.

Si vous pensez que votre compte est compromis

1. Changez votre mot de passe, ou sécurisez votre compte Google.
2. Déconnectez toutes les sessions.
3. Activez la 2FA si elle était désactivée.
4. Supprimez et recréez les jetons API.
5. Vérifiez le journal d'activité et vos ressources à la recherche de tout élément inattendu.
6. Ouvrez un ticket dans la console.

Pour signaler un abus provenant d'un serveur Wolkra, ou pour toute question sur vos données personnelles, consultez la page contact. Plus d'informations sur la page produit : équipes et sécurité.