Commit 703a852b authored by Angie's avatar Angie

Update Liste_de_conformité_à_la_Charte_CHATONS.md

parent 14479035
......@@ -27,39 +27,39 @@ La détermination d'un critère comme étant bloquant ou non est à l'appréciat
## Publicité / pisteurs / appels tiers
- [ ] ❗ Aucun pisteur tiers n'est présent.
- [ ] ❗ Aucun pisteur tiers n'est présent.
*Ce point est vérifier avec uBlock Origin, Privacy Badger et/ou NoScript en désactivant les protections de Firefox ainsi que d'éventuels PiHole. Les polices et images tierces sont considérées comme des pisteurs potentiels.*
- [ ] ❗ Si des statistiques sont faites, elles ne nécessitent pas de consentements préalables des utilisatrices et utilisateurs (https://www.cnil.fr/fr/cookies-traceurs-que-dit-la-loi).
- [ ] ℹ️ Si le CHATON est contraint de communiquer via un réseau social centralisé ou privé, l'information est accessible par un autre biais.
- [ ] ℹ️ Si le CHATON est contraint de communiquer via un réseau social centralisé ou privé, l'information est accessible par un autre biais.
*Ressource utile: https://antipub.org/resistance-a-l-agression-publicitaire-s-infiltre-dans-les-reseaux-sociaux/* .
## Sécurité
- [ ] ❗ Les utilisateurs et utilisatrices ont accès aux informations principales concernant la politique de sécurité.
- [ ] ❗ Les utilisateurs et utilisatrices ont accès aux informations principales concernant la politique de sécurité.
*Si vous traitez des données personnelles ce point est obligatoire d'après la RGPD*
### Test des sites web de la plateforme avec [Mozilla Observatory](https://observatory.mozilla.org/)
- [ ] ❗ Les sites web du CHATONS et ses services, **sont disponible via HTTPS**.
- [ ] ℹ️ Les sites web via HTTP redirigent bien vers HTTPS.
- [ ] ℹ️ Les sites web sont notés B ou plus.
- [ ] ℹ️ Les sites web sont notés B ou plus.
*Si ce n'est pas le cas, suggérer d'appliquer les recommandations de sécurité pour les services web https://ssl-config.mozilla.org/* .
### Test des serveurs SMTP de la plateforme avec [CryptCheck](https://tls.imirhil.fr/) (vérifiable avec `dig MX monchaton.com`)
- [ ] ℹ️ Les serveurs mails sont notés D ou plus.
- [ ] ℹ️ Les serveurs mails sont notés D ou plus.
*Si ce n'est pas le cas, suggérer d'appliquer les recommandations de sécurité pour le SMTP*.
### Engagement des adminsys
- [ ] ℹ️ Les personnes qui ont des accès administrateurs, bénévoles ou salariées, s'engagent sur une charte concernant des points de confidentialité et de prudence.
- [ ] ℹ️ Les personnes qui ont des accès administrateurs, bénévoles ou salariées, s'engagent sur une charte concernant des points de confidentialité et de prudence.
*TODO comment une personne s'intégre dans le CHATON pour faire des opérations d'adminsys ? Quel compromis sécurité/inclusivité ?*
### Audit de sécurité avancé (à réaliser avec l'accord du futur CHATONS ?)
- [ ] ℹ️ Avancé : Les autres domaines de la plateforme ne semble pas contenir de portes dérobées (instances adminer ouvertes), etc.
- [ ] ℹ️ Avancé : Les autres domaines de la plateforme ne semble pas contenir de portes dérobées (instances adminer ouvertes), etc.
*Le certificat TLS utilisé par le site web de la structure candidate peut éventuellement aider à révéler ces sous-domaines. La liste de publication de Let's Encrypt également*.
- [ ] ℹ️ Avancé : Il n'y a pas de port critique laissé ouvert par inadvertance
- [ ] ℹ️ Avancé : Il n'y a pas de port critique laissé ouvert par inadvertance
*Pour le vérifier on peut utiliser `nmap`*.
- [ ] ℹ️ Avancé : Le port SSH a été changé.
- [ ] ℹ️ Avancé : Un mécanisme de ban est en place.
- [ ] ℹ️ Avancé : Un mécanisme de ban est en place.
*Si on fait 10 tentatives de mot de passe érronés quelques part, est-ce qu'on peut continuer ?*
Il convient de discuter directement avec les membres de la structure candidate des précautions à prendre (privilégier l'authentification par clefs publiques, forger une bonne passphrase, chiffrement des disques, politique de gestion des accès, etc).
......
Markdown is supported
0%
or
You are about to add 0 people to the discussion. Proceed with caution.
Finish editing this message first!
Please register or to comment