Valdon Sadiki

Un cabinet d'expertise comptable veut réunir ses outils internes sur un seul serveur : la documentation des procédures, une galerie photo, une veille fiscale et un forum d'entraide, le tout derrière un portail d'accueil. Chaque service doit répondre à son propre nom interne, et chaque application rester cloisonnée des autres.

Le serveur est un clone lié du modèle Windows construit au TP 3, carte réseau en pont et adresse fixe, ce qui m'a évité de réinstaller le système. Dessus, un serveur web Apache avec PHP et MySQL, puis cinq hôtes virtuels déclarés dans Apache et résolus par le fichier hosts. Quatre applications installées et configurées : un wiki fermé avec ses listes de contrôle d'accès, une galerie avec un album privé, un agrégateur de veille consultable sans compte, un forum à deux salons. Pour chacune, une base dédiée et un compte de base de données qui n'a de droits que sur elle, puis trois rôles, administrateur, intermédiaire et lecteur, vérifiés en ouvrant réellement une session sous chaque compte. Le portail d'accueil est écrit à la main, sans JavaScript ni ressource externe. Un instantané de la machine à chaque fin d'étape.

Deux incidents valaient plus que le reste. L'agrégateur m'a averti que son hôte virtuel servait tout son dossier, y compris le sous-dossier qui contient sa configuration et le mot de passe de sa base en clair : j'ai repointé la racine du site sur le seul sous-dossier public. N'exposer que ce qui doit l'être est une décision de configuration, pas une option. Le second est plus inconfortable : le réseau de l'école inspecte le trafic chiffré et remplace les certificats, ce que PHP refuse, donc aucun flux ne se chargeait. J'ai désactivé la vérification pour avancer, en sachant que la connexion reste chiffrée mais que le serveur ne vérifie plus l'identité des sites, et en notant la vraie solution : ajouter le certificat du proxy à la liste de confiance de PHP. Je préfère documenter un contournement et son risque que le laisser passer pour une correction. Restent à faire la mise à disposition sur le réseau, l'analyse de sécurité et la procédure de sauvegarde.

Une intervention chez un particulier dont le poste rame, à mener dans l'ordre imposé : écouter, qualifier, observer, isoler, corriger, documenter. Le diagnostic doit désigner un coupable, pas une intuition.

Installé la machine virtuelle Windows 11 de zéro, en UEFI avec TPM et disque NVMe, puis passé le poste composant par composant : intégrité du disque avec CrystalDiskInfo et chkdsk, mémoire vive avec MemTest86 lancé au démarrage depuis une clé USB puis avec l'outil intégré à Windows, charge processeur et températures, recherche de logiciels indésirables. Ensuite la suite du métier : sauvegarde des dossiers du profil, nettoyage, réinstallation du socle logiciel, tentative de récupération d'un fichier supprimé, et mise en place d'une prise en main à distance pour les interventions suivantes. En parallèle, l'environnement de récupération : mode sans échec, invite de commandes hors système, points de restauration, désinstallation d'une mise à jour, et lecture des journaux Windows.

Deux réflexes que je garde. Le premier : faire analyser chaque fichier téléchargé avant de l'exécuter sur la machine de quelqu'un d'autre. Le second est moins confortable à admettre, la récupération de données échoue souvent. Chez moi elle n'a rien rendu, et c'est justement la leçon : on prévient le client que ce n'est pas une garantie, avant de lancer l'outil. Sur le plan des journaux, savoir qu'un échec d'authentification porte l'identifiant 4625 permet de le retrouver au milieu de trente mille lignes en quelques secondes.

Un cabinet de conseil de douze postes, sans serveur ni informaticien en interne. Les postes ont été configurés à la main, un par un, et aucun ne ressemble aux autres. La commande n'est pas de tout refaire mais d'établir un poste de référence : documenté, justifié, reproductible sur les onze suivants et sur ceux à venir.

Quatorze ateliers sur un poste type, chacun rattaché à un besoin exprimé par le dirigeant. Nommage et groupe de travail, comptes locaux et droits, adresse IP fixe avec tests de connectivité au ping et au tracert, résolution de noms et fichier hosts, maîtrise de Windows Update jusqu'à l'identification d'un correctif fautif par son numéro KB et sa désinstallation, télémétrie et autorisations d'applications, environnement utilisateur standardisé, Bureau à distance, dossiers partagés et permissions, volumes et disques, points de restauration, imprimante PDF, mode borne, stratégies locales et contrôle de compte d'utilisateur, base de registre.

La partie que je n'attendais pas, c'est l'écrit. Quatre livrables étaient destinés au dirigeant et pas au technicien : une note de sécurité en cinq mesures toutes gratuites, une procédure de sauvegarde bâtie sur la règle des trois copies, une fiche de dix lignes pour les collaborateurs dont le poste est lent, et trois tâches planifiées avec leur justification. Écrire sans jargon force à savoir de quoi on parle. J'en garde une phrase : une sauvegarde jamais restaurée est une sauvegarde supposée, donc le test de restauration fait partie de la procédure et pas des options. Sur le plan technique, la leçon la plus utile est qu'un groupe de travail n'est pas une frontière de sécurité, juste une étiquette : douze postes, douze bases de comptes indépendantes, et c'est précisément ce qui justifie un domaine au-delà d'une certaine taille.

Arrêter de réinstaller Windows à chaque travail pratique. Construire une machine modèle propre, la figer, et en tirer autant de postes que nécessaire, sans les faire entrer en conflit une fois sur le même réseau.

Préparé la machine de référence : compte administrateur local activé, comptes de travail supprimés et leurs dossiers de profil avec, outillage installé en ligne de commande. Généralisée ensuite avec sysprep pour réinitialiser l'identifiant machine et le nom d'hôte, figée par un instantané, puis dupliquée en clone lié, qui ne recopie que les différences. Ajout d'un module de sécurité virtuel sur le clone pour activer le chiffrement du disque, vérifié en PowerShell. Et la même démarche côté Linux sur une Debian : adressage, connexion en SSH depuis l'hôte, puis généralisation par script.

L'ordre des opérations n'est pas négociable. Deux machines clonées sans généralisation préalable portent le même identifiant, et un annuaire ne sait plus les distinguer : le défaut ne se voit pas tant qu'on reste seul, et se voit très bien le jour de l'intégration au domaine. Dans l'autre sens, un disque déjà chiffré et adossé au module de sécurité interdit la généralisation après coup. C'est aussi le travail pratique qui m'a demandé le plus de rédaction : la documentation que j'en tire fait soixante-cinq pages et quatre-vingt-six figures.