Comment fonctionne PatchTempo

Nous commençons par regarder ce que verrait un attaquant. Avec la seule adresse de votre site, nous vérifions ce qui est visible publiquement : versions de logiciels annoncées par le serveur, réglages TLS, en-têtes de sécurité et services courants laissés ouverts.

Si vous nous donnez un accès en lecture seule, l'audit va plus loin : paquets installés, dépendances de votre application, versions des frameworks, fichiers de configuration et mode de connexion.

• Les vulnérabilités connues (CVE) qui touchent vos versions exactes
• Les logiciels obsolètes ou qui ne sont plus maintenus
• Les réglages risqués, comme la connexion SSH par mot de passe ou un port de base de données ouvert
• Une liste classée : quoi corriger en premier, et pourquoi, en langage clair

La plupart des serveurs ont des mois ou des années de retard. Nous remettons tout à jour une fois, dans une mise à niveau documentée : paquets du système, dépendances et framework de votre application, et la configuration qui les entoure.

Les portes faciles sont fermées au passage : clés SSH à la place des mots de passe, services qui n'ont pas à être publics fermés, réglages par défaut durcis.

• Chaque changement passe par une pull request et d'abord par la préproduction
• Les tests de votre application tournent avant toute mise en production
• Une trace écrite de ce qui a changé, pour que votre développeur ne soit jamais surpris

De nouvelles vulnérabilités sont publiées chaque jour. La plupart ne vous concernent pas. Nos agents comparent chaque nouvelle CVE aux logiciels et versions exacts que vous utilisez, et les classent selon leur importance pour votre installation.

Les vulnérabilités critiques qui vous touchent sont traitées dès qu'un correctif existe, dans le délai prévu à votre contrat. Le reste suit le cycle mensuel.

Une fois par mois, les mises à jour en attente sont préparées, testées en préproduction et proposées à la validation. Une personne valide chaque fusion et chaque redémarrage, puis le changement est déployé dans votre créneau de maintenance.

Vous recevez un rapport daté : ce qui a été trouvé, corrigé et testé, et ce qui attend votre décision. Il est écrit pour les dirigeants, avec une annexe technique pour votre développeur.