Un site statique n'a rien Ă forcer
Ce blog est construit avec Hugo et servi sous forme de 6 343 simples fichiers, sans aucun code à moi qui tourne à chaque requête. En face, un WordPress 7.1.3 d’origine mesuré dans un labo podman : 133 routes REST, dont 62 qui acceptent des écritures, 80 méthodes XML-RPC, 1 514 fichiers PHP, chacun de ses 3 785 fichiers modifiable par l’utilisateur même du serveur web, et un compte de base de données qui détient tous les privilèges. Cet article compte les deux surfaces d’attaque, explique ce que fait le modèle de sécurité de Hugo au moment du build, reconnaît où le risque se déplace quand plus rien ne tourne au moment de servir, y compris deux failles dans la façon dont ce site était construit, dont l’une est maintenant corrigée, et explique comment construire un site statique hors ligne, une fois, et n’envoyer que les fichiers finis.