Sicherheit der Websites Schweizer Spitälern

Warum es wichtig ist. Quand une personne découvre une faille sur le site – un chercheur, un citoyen attentif -, elle doit savoir à qui la signaler. Sans point de contact publié, elle renonce souvent, ou rend la faille publique sans prévenir : l'entité l'apprend alors en même temps que les attaquants. L'Office fédéral de la cybersécurité (OFCS) attend des organisations qu'elles désignent ce contact à l'avance.

Wie es funktioniert. Le fichier security.txt est un petit fichier texte au format standard (RFC 9116), placé à une adresse fixe du site : /.well-known/security.txt. Les chercheurs et les outils de signalement savent l'y trouver. Il contient au minimum une adresse de contact et une date de validité.

Wie man es behebt. Publier un fichier texte à l'adresse /.well-known/security.txt du site, avec au moins une ligne « Contact: » et une ligne « Expires: ». Choisir une adresse générique relevée par plusieurs personnes (par exemple securite@…), jamais la boîte d'une seule personne.

Warum es wichtig ist. C'est l'information essentielle du fichier : l'adresse ou le formulaire où envoyer un signalement. Un fichier sans contact ne permet à personne de signaler quoi que ce soit.

Wie es funktioniert. La ligne « Contact: » indique une adresse e-mail (mailto:), un formulaire web (https://) ou un numéro de téléphone. Elle peut être répétée pour proposer plusieurs moyens de contact.

Wie man es behebt. Ajouter une ligne « Contact: mailto:securite@exemple.ch » – une ligne par moyen de contact.

Warum es wichtig ist. Un contact publié il y a des années n'est peut-être plus relevé. La date de validité dit jusqu'à quand l'information est garantie à jour ; passé cette date, les outils de signalement considèrent le fichier comme périmé et l'ignorent.

Wie es funktioniert. La ligne « Expires: » porte une date au format international, par exemple 2027-06-30T00:00:00Z. La norme recommande une échéance à moins d'un an, à repousser à chaque relecture du fichier.

Wie man es behebt. Ajouter ou mettre à jour la ligne « Expires: » avec une date d'ici un an au plus, et prévoir un rappel pour la repousser avant l'échéance.

Warum es wichtig ist. Un site est souvent joignable à deux adresses, avec et sans « www ». Si le fichier n'est servi que sur l'une, une personne ou un outil qui passe par l'autre conclut qu'il n'existe pas.

Wie es funktioniert. La mesure interroge les deux variantes de l'adresse, par exemple exemple.ch et www.exemple.ch.

Wie man es behebt. Servir le même fichier sur les deux variantes, ou rediriger l'une vers l'autre.

Warum es wichtig ist. Un signalement de faille décrit souvent comment attaquer le site. Envoyé en clair par e-mail, il peut être intercepté. Une clé de chiffrement publiée permet d'envoyer ce rapport de façon confidentielle.

Wie es funktioniert. La ligne « Encryption: » pointe vers la clé publique (souvent OpenPGP) de l'équipe qui reçoit les signalements. C'est un champ facultatif de la norme : recommandé, jamais exigé.

Wie man es behebt. Ajouter une ligne « Encryption: https://exemple.ch/cle-pgp.asc » pointant vers la clé publique de l'équipe de sécurité.

Warum es wichtig ist. En Suisse, un signalement peut arriver en français, en allemand, en italien ou en anglais. Indiquer les langues acceptées évite qu'un rapport reste sans suite faute d'être compris.

Wie es funktioniert. La ligne « Preferred-Languages: » liste les langues dans lesquelles l'équipe peut traiter un signalement, par exemple fr, de, it, en. C'est un champ facultatif de la norme.

Wie man es behebt. Ajouter une ligne « Preferred-Languages: fr, de, it, en » listant les langues acceptées pour un signalement.

Warum es wichtig ist. Sans connexion chiffrée, tout ce qui circule entre le visiteur et le site – formulaires, identifiants, documents – peut être lu ou modifié par quelqu'un placé sur le réseau (Wi-Fi public, équipement compromis). Les navigateurs signalent d'ailleurs ces sites comme « non sécurisés ».

Wie es funktioniert. HTTPS chiffre la connexion grâce à un certificat : une pièce d'identité numérique du site, délivrée par une autorité reconnue. Pour être accepté, le certificat doit être en cours de validité, émis pour le bon nom de domaine et servi complet, avec ses certificats intermédiaires. Ce contrôle porte sur la connexion chiffrée elle-même ; la redirection depuis l'adresse en http:// fait l'objet d'un contrôle distinct.

Wie man es behebt. Installer un certificat valide pour le nom du site (Let's Encrypt est gratuit et se renouvelle automatiquement), le servir avec ses certificats intermédiaires, et vérifier que le renouvellement automatique fonctionne.

Warum es wichtig ist. Beaucoup de visiteurs tapent l'adresse sans « https:// » ou suivent un ancien lien en http://. Sans redirection, cette première visite se fait en clair et peut être détournée vers un faux site avant même que la connexion chiffrée soit proposée.

Wie es funktioniert. Quand le navigateur demande l'adresse en http://, le serveur doit répondre aussitôt que la page se trouve à l'adresse en https://. Une redirection permanente (code 301 ou 308) est préférable : le navigateur la mémorise pour les visites suivantes.

Wie man es behebt. Configurer le serveur ou l'hébergement pour rediriger toute adresse en http:// vers son équivalent en https://, de préférence par une redirection permanente (301 ou 308).

Warum es wichtig ist. Même avec une redirection, la toute première requête part en clair et peut être interceptée par un attaquant placé sur le réseau. HSTS demande au navigateur de ne plus jamais contacter le site autrement qu'en HTTPS : après une première visite, cette fenêtre d'attaque disparaît.

Wie es funktioniert. Le site envoie l'en-tête « Strict-Transport-Security » avec une durée (max-age, en secondes) pendant laquelle le navigateur doit retenir la consigne ; chaque visite la prolonge. L'option includeSubDomains étend la règle aux sous-domaines.

Wie man es behebt. Une fois le site entièrement servi en HTTPS, ajouter l'en-tête « Strict-Transport-Security: max-age=31536000 » (un an) ; ajouter « includeSubDomains » lorsque tous les sous-domaines le sont aussi.

Warum es wichtig ist. Si un attaquant parvient à glisser du code dans une page – par un formulaire mal protégé, un module compromis -, ce code s'exécute chez chaque visiteur et peut voler des données ou renvoyer vers un faux site. Une politique CSP indique au navigateur quelles sources de scripts sont légitimes : tout le reste est bloqué.

Wie es funktioniert. L'en-tête « Content-Security-Policy » liste les origines autorisées : le site lui-même, tel service de statistiques, etc. Une variante « Report-Only » permet de tester la politique : le navigateur signale ce qu'il aurait bloqué, sans rien bloquer. C'est le seul contrôle qui demande un vrai travail d'intégration au site, d'où sa gravité mineure malgré son poids.

Wie man es behebt. Définir une politique adaptée au site, la tester d'abord en mode « Content-Security-Policy-Report-Only », corriger ce qu'elle signale, puis l'appliquer.

Warum es wichtig ist. Certains navigateurs devinent le type d'un fichier d'après son contenu. Un attaquant peut en profiter pour faire exécuter comme programme un fichier déposé sur le site, une image ou un document piégé. L'en-tête nosniff interdit cette devinette.

Wie es funktioniert. Le site envoie « X-Content-Type-Options: nosniff » : le navigateur s'en tient alors au type de fichier annoncé par le serveur.

Wie man es behebt. Ajouter l'en-tête « X-Content-Type-Options: nosniff » dans la configuration du serveur.

Warum es wichtig ist. Un site malveillant peut afficher les pages de l'entité dans un cadre invisible, superposé à ses propres boutons, pour faire cliquer le visiteur à son insu – valider un paiement, modifier un réglage. C'est le « clickjacking ».

Wie es funktioniert. Deux moyens équivalents l'empêchent : l'en-tête X-Frame-Options, ancien et compris partout, ou la directive frame-ancestors d'une politique CSP, plus moderne et prioritaire dans les navigateurs récents. Les deux peuvent coexister.

Wie man es behebt. Ajouter « X-Frame-Options: SAMEORIGIN », ou la directive « frame-ancestors 'self' » dans la politique CSP.

Warum es wichtig ist. Quand un visiteur suit un lien vers un autre site, son navigateur peut transmettre l'adresse de la page qu'il quitte. Cette adresse contient parfois des informations sensibles : numéro de dossier, terme recherché, jeton d'accès.

Wie es funktioniert. L'en-tête « Referrer-Policy » règle ce qui est transmis. La valeur « strict-origin-when-cross-origin » ne communique aux autres sites que le nom du site d'origine, jamais l'adresse complète de la page.

Wie man es behebt. Ajouter l'en-tête « Referrer-Policy: strict-origin-when-cross-origin ».

Warum es wichtig ist. Une page peut demander l'accès à la caméra, au micro ou à la position du visiteur. Si le site n'en a pas besoin, autant fermer ces portes : un script injecté ou un contenu tiers intégré ne pourra pas les solliciter.

Wie es funktioniert. L'en-tête « Permissions-Policy » liste les fonctions du navigateur que la page et ses contenus intégrés ont le droit d'utiliser.

Wie man es behebt. Ajouter une politique qui ferme ce qui n'est pas utilisé, par exemple « Permissions-Policy: camera=(), microphone=(), geolocation=() ».

Warum es wichtig ist. Un serveur qui annonce son logiciel et sa version exacte – par exemple « Apache/2.4.41 » ou « PHP/7.4.3 » – indique aux attaquants quelles failles connues essayer en premier, sans effort de recherche.

Wie es funktioniert. L'information apparaît dans les en-têtes « Server » et « X-Powered-By » de chaque réponse. Masquer le numéro ne corrige aucune faille, mais retire une indication précieuse aux attaquants. Le nom du logiciel seul, sans numéro, est accepté.

Wie man es behebt. Configurer le serveur pour masquer le numéro de version dans les en-têtes Server et X-Powered-By (par exemple ServerTokens Prod et ServerSignature Off sous Apache, expose_php = Off pour PHP).

Warum es wichtig ist. Les cookies portent souvent la session d'un utilisateur connecté. Mal protégé, un cookie peut être volé – sur un réseau non chiffré, par un script injecté – et permettre de se faire passer pour cet utilisateur.

Wie es funktioniert. Trois attributs protègent un cookie : Secure (envoyé seulement en HTTPS), HttpOnly (illisible par les scripts de la page) et SameSite (non envoyé lors de requêtes provenant d'autres sites). Seuls les cookies posés par la page d'accueil, dans la première réponse du serveur, sont examinés ; un site qui n'en pose aucun n'est pas évalué sur ce point.

Wie man es behebt. Ajouter les attributs Secure, HttpOnly et SameSite (Lax au minimum) à chaque cookie posé par le site.

Warum es wichtig ist. Sans SPF, n'importe qui peut envoyer un e-mail qui semble venir de l'entité – fausse facture, faux avis officiel, demande de paiement -, et les serveurs des destinataires n'ont aucun moyen de le reconnaître comme faux. C'est la porte d'entrée classique de l'hameçonnage.

Wie es funktioniert. SPF est une liste publiée dans le DNS du domaine : elle nomme les serveurs autorisés à envoyer du courrier en son nom (serveur de messagerie, service d'infolettre…). Elle se termine par une consigne pour tous les autres serveurs, et c'est cette consigne qui fait la protection : « -all » demande de rejeter leurs e-mails ; « ~all » demande seulement de les marquer comme suspects, sans obligation ; « ?all » ne demande rien ; « +all » autorise tout le monde.

Wie man es behebt. Dans la zone DNS du domaine (chez l'hébergeur ou le registraire qui la gère), publier un seul enregistrement TXT commençant par « v=spf1 », qui liste tous les services d'envoi légitimes et se termine par « -all ». Le temps de vérifier que tous les envois légitimes sont bien listés, « ~all » peut servir d'étape.

Warum es wichtig ist. SPF permet de reconnaître un faux e-mail ; DMARC dit au destinataire ce qu'il doit en faire. Sans DMARC, ou avec une politique trop souple, un e-mail qui usurpe l'entité arrive en boîte de réception. DMARC permet aussi de recevoir des rapports qui révèlent qui envoie du courrier au nom du domaine.

Wie es funktioniert. DMARC est un enregistrement DNS publié sur _dmarc.<domaine>. Sa politique (p=) connaît trois niveaux : « none » observe sans rien bloquer, « quarantine » envoie les faux e-mails dans les indésirables, « reject » les refuse. La balise rua= désigne l'adresse qui reçoit les rapports. Deux réglages peuvent affaiblir un « reject » : pct= (appliqué à une partie des messages seulement) et sp= (règle plus souple pour les sous-domaines). Le chemin habituel : commencer en « none » avec rua= pour repérer tous les envois légitimes, puis passer à « quarantine », enfin à « reject ».

Wie man es behebt. Publier un enregistrement TXT sur _dmarc.<domaine> : commencer par « v=DMARC1; p=none; rua=mailto:dmarc@exemple.ch », analyser les rapports quelques semaines, puis durcir vers « p=quarantine » et enfin « p=reject ».

Warum es wichtig ist. Le DNS est l'annuaire d'Internet : il traduit le nom du domaine en adresses de serveurs, y compris pour le courrier. Sans signature, un attaquant peut falsifier ces réponses et envoyer discrètement visiteurs ou e-mails vers ses propres serveurs. DNSSEC protège aussi SPF et DMARC, publiés dans ce même annuaire.

Wie es funktioniert. DNSSEC signe électroniquement les réponses du DNS du domaine ; les résolveurs qui vérifient ces signatures rejettent toute réponse falsifiée. L'activation se fait en deux temps : signature de la zone chez l'hébergeur DNS, puis publication d'une empreinte (enregistrement DS) chez le registraire.

Wie man es behebt. Activer DNSSEC chez l'hébergeur de la zone DNS (souvent une simple option), puis faire publier l'enregistrement DS chez le registraire du domaine – beaucoup le font automatiquement.

Warum es wichtig ist. Entre deux serveurs de messagerie, le chiffrement des e-mails est proposé mais pas imposé : un attaquant placé sur le réseau peut le faire sauter et lire les messages en clair. MTA-STS permet au domaine d'exiger le chiffrement pour le courrier qui lui est destiné.

Wie es funktioniert. Le domaine publie un enregistrement DNS (_mta-sts) qui annonce une politique, et un petit fichier sur https://mta-sts.<domaine> qui la détaille. En mode « enforce », les serveurs expéditeurs refusent de livrer sans chiffrement. Seule la présence de l'enregistrement DNS est mesurée ici, pas le mode choisi.

Wie man es behebt. Publier un enregistrement TXT sur _mta-sts.<domaine> (« v=STSv1; id=… »), puis le fichier de politique sur https://mta-sts.<domaine>/.well-known/mta-sts.txt, d'abord en « mode: testing », puis en « mode: enforce » une fois vérifié.

Warum es wichtig ist. Pour se faire passer pour le site en HTTPS, un attaquant doit obtenir un certificat à son nom. Par défaut, n'importe laquelle des nombreuses autorités de certification peut en émettre un. CAA restreint cette liste aux seules autorités choisies par l'entité.

Wie es funktioniert. L'enregistrement CAA, publié dans le DNS du domaine, nomme les autorités autorisées, par exemple Let's Encrypt. Les autorités sont tenues de le consulter avant d'émettre un certificat.

Wie man es behebt. Publier dans la zone DNS du domaine un enregistrement CAA qui nomme la ou les autorités utilisées, par exemple « 0 issue "letsencrypt.org" ».

Warum es wichtig ist. Si les autres serveurs n'arrivent pas à livrer un e-mail chiffré au domaine – certificat expiré, configuration cassée, attaque -, personne n'est prévenu. TLS-RPT leur demande d'envoyer un rapport : un problème de messagerie entrante est alors repéré rapidement.

Wie es funktioniert. Un enregistrement DNS sur _smtp._tls.<domaine> indique l'adresse qui reçoit ces rapports. Il complète MTA-STS.

Wie man es behebt. Publier un enregistrement TXT sur _smtp._tls.<domaine> (« v=TLSRPTv1; rua=mailto:tls-rapports@exemple.ch »).

Was es zeigt. IPv6 est la nouvelle génération d'adresses Internet, appelée à remplacer IPv4, dont les adresses sont épuisées. Un site joignable en IPv6 montre une infrastructure tenue à jour, prête pour les réseaux qui n'utilisent plus que cette version (certains réseaux mobiles, notamment).

Wie es erhoben wird. Le DNS public est interrogé pour savoir si le nom du site possède une adresse IPv6 (enregistrement AAAA).

Gut zu wissen. Son absence n'est pas une faille : le site reste joignable en IPv4 par tous les visiteurs.

Was es zeigt. Même question pour la messagerie : le courrier adressé à l'entité peut-il arriver par IPv6 ? Une messagerie à jour sur ce point suit l'évolution d'Internet, au même titre que le site.

Wie es erhoben wird. Le DNS public est interrogé pour les serveurs qui reçoivent le courrier du domaine (enregistrements MX) : il suffit que l'un d'eux possède une adresse IPv6.

Gut zu wissen. Comme pour le site, son absence n'empêche aucun e-mail d'arriver.

Was es zeigt. Les navigateurs (Chrome, Firefox, Safari, Edge) intègrent une liste de domaines qu'ils n'ouvrent jamais autrement qu'en connexion chiffrée, dès la toute première visite. L'inscription ferme la petite fenêtre que laisse HSTS seul : la première connexion, avant que le site ait pu donner sa consigne.

Wie es erhoben wird. Le statut du domaine est lu dans la liste publique hstspreload.org : inscrit, inscription en cours, ou non inscrit.

Gut zu wissen. L'inscription engage le domaine et tous ses sous-domaines, et se retire lentement : elle suppose d'avoir d'abord généralisé HTTPS partout. Elle reste rare, sans que ce soit une faiblesse.

Was es zeigt. Sur Internet, les opérateurs s'annoncent entre eux quelles adresses ils desservent. Une annonce erronée ou malveillante peut détourner le trafic vers un autre réseau. La signature RPKI permet de vérifier qu'une annonce est authentique : une route signée protège le chemin vers le site contre ce type de détournement.

Wie es erhoben wird. Pour l'adresse du site, la base publique RIPEstat du RIPE NCC (le registre Internet européen) indique si la route est signée et conforme, contraire à la signature, ou non signée.

Gut zu wissen. Ce réglage relève de l'hébergeur ou de l'opérateur réseau, rarement de l'entité elle-même : il renseigne aussi sur le choix du prestataire.

Was es zeigt. Entre deux serveurs de messagerie, le chiffrement est souvent facultatif et le certificat rarement vérifié. DANE publie dans le DNS, protégé par signature (DNSSEC), l'empreinte du certificat attendu : un serveur expéditeur compatible refuse alors de remettre le courrier à un imposteur, ou sans chiffrement.

Wie es erhoben wird. Le DNS public est interrogé pour chaque serveur de messagerie du domaine (enregistrement TLSA), et la signature de la réponse est vérifiée. Résultat : tous les serveurs, une partie d'entre eux, publié sans signature (donc sans effet), ou absent.

Gut zu wissen. Répandu en Allemagne et aux Pays-Bas, encore rare en Suisse. MTA-STS, évalué dans les contrôles e-mail, poursuit le même but par un autre moyen.

Was es zeigt. Les services tiers de publicité ou de mesure d'audience (Google Analytics, Google Tag Manager, Google Ads, Meta Pixel, LinkedIn Insight, Hotjar, Microsoft Clarity, TikTok Pixel) transmettent des informations sur les visiteurs à une autre entreprise, souvent hors de Suisse. L'indicateur montre quelle part des entités y recourt sur sa page d'accueil.

Wie es erhoben wird. Le code de la page d'accueil, déjà téléchargé pour les contrôles des en-têtes, est parcouru à la recherche des adresses connues de ces services. Aucun script n'est exécuté.

Gut zu wissen. Un bandeau de consentement reste invisible de cette façon : un traceur relevé n'est pas forcément actif avant l'accord du visiteur. Une mesure d'audience hébergée par l'entité elle-même (Matomo sur son propre serveur, par exemple) n'est pas comptée.

Was es zeigt. Des polices de caractères chargées depuis les serveurs de Google transmettent à Google l'adresse IP de chaque visiteur, dès l'affichage de la page. Un tribunal allemand a jugé ce transfert contraire à la protection des données sans consentement (2022). Héberger les polices sur son propre serveur l'évite, sans rien changer à l'apparence du site.

Wie es erhoben wird. Le code de la page d'accueil est parcouru à la recherche des adresses fonts.googleapis.com et fonts.gstatic.com.

Was es zeigt. Dans quel pays est enregistrée l'adresse Internet qui sert le site : Suisse, Union européenne ou AELE, États-Unis, ou autre. Un indice de la dépendance à des prestataires étrangers, et donc aux lois qui s'appliquent à eux (le CLOUD Act américain, par exemple).

Wie es erhoben wird. L'adresse IP du site est recherchée dans la base publique RIPEstat du RIPE NCC, qui indique le pays d'enregistrement et le titulaire de l'adresse.

Gut zu wissen. C'est le pays déclaré par le titulaire de l'adresse, en général son siège, pas l'emplacement physique du serveur : un fournisseur américain peut héberger en Suisse avec des adresses enregistrées aux États-Unis. Un service de protection placé devant le site (Cloudflare, par exemple) apparaît à sa place.

Was es zeigt. Quelle entreprise détient l'adresse du site : hébergeur, opérateur télécom, fournisseur de cloud ou réseau de diffusion. Les opérateurs les plus fréquents montrent la concentration d'un secteur chez quelques prestataires : une panne ou une attaque chez l'un d'eux toucherait alors beaucoup d'entités en même temps.

Wie es erhoben wird. Même source que le pays : le titulaire de l'adresse IP du site, dans la base RIPEstat du RIPE NCC.

Gut zu wissen. Seules les parts des trois opérateurs les plus fréquents d'un secteur sont publiées.

Was es zeigt. La même question pour le serveur qui reçoit le courrier : c'est là que les e-mails adressés à l'entité arrivent en premier. Une messagerie confiée à un fournisseur étranger relève aussi des lois de son pays.

Wie es erhoben wird. L'adresse du serveur de messagerie prioritaire du domaine (premier enregistrement MX) est recherchée dans la base RIPEstat du RIPE NCC.

Gut zu wissen. Une messagerie hébergée chez Microsoft 365 ou Google apparaît chez ce fournisseur et sous son pays d'enregistrement, même si les boîtes aux lettres sont stockées en Europe ou en Suisse.

Was es zeigt. Quelle entreprise reçoit le courrier de l'entité : son propre service informatique, un hébergeur suisse, un service de filtrage, ou un grand fournisseur de messagerie. Comme pour les sites, les opérateurs les plus fréquents révèlent la dépendance d'un secteur à quelques acteurs.

Wie es erhoben wird. Titulaire de l'adresse du serveur de messagerie prioritaire, dans la base RIPEstat du RIPE NCC.

Gut zu wissen. Un service de filtrage placé devant la messagerie (antispam) apparaît à la place du fournisseur des boîtes aux lettres.