Points clés
- De nombreuses attaques passant par le navigateur réussissent simplement parce que le navigateur n’est pas géré, ce qui expose les identifiants, les extensions et les données de session.
- Cinq failles de sécurité fréquentes au niveau du navigateur : les extensions non gérées, la synchronisation des profils non encadrée, une gestion trop laxiste des mots de passe, des mises à jour irrégulières et une visibilité limitée sur les navigateurs.
- Une politique de navigateur gérée applique des contrôles homogènes à l’ensemble de l’environnement : gouvernance des extensions, règles de profil, stockage des mots de passe, application des mises à jour et surveillance des navigateurs.
- Une politique de navigateur donne les meilleurs résultats lorsqu’elle s’aligne sur l’infrastructure de sécurité existante, afin que les contrôles se renforcent mutuellement au lieu de se contredire.
- Commencez par gérer les utilisateurs à privilèges, les équipes exposées et les appareils non gérés, avant d’étendre la couverture aux systèmes moins à risque.
Le navigateur est la porte d’entrée vers les outils, les systèmes et les plateformes dont les collaborateurs ont besoin pour travailler : un salarié y passe en moyenne 85 % de sa journée. Pourtant, malgré ce rôle central dans les opérations quotidiennes, le navigateur constitue aussi un point d’entrée possible pour le détournement de session, les extensions malveillantes et les attaques visant à collecter des identifiants.
La plupart des attaques passant par le navigateur ne réussissent pas grâce à un exploit sophistiqué et minutieusement conçu, mais tout simplement parce que le navigateur n’était pas géré. Ce guide présente les bonnes pratiques de gestion des navigateurs qui vous aideront à combler les failles que les attaquants recherchent et exploitent activement.
L’importance de la gestion de la sécurité de la navigation web
Beaucoup d’entreprises disposent de contrôles matures sur les terminaux, les identités et les accès réseau, mais laissent le navigateur, là où le travail se fait réellement, à la discrétion des utilisateurs. Les navigateurs transportent des identifiants, accèdent à des applications SaaS et interagissent avec des services tiers au cours d’une même session : une cible facile pour les attaquants.
Sans gestion, il est difficile d’observer et de contrôler ce qui est installé dans un navigateur, la façon dont les données circulent et ce qui est consulté pendant les sessions. Une stratégie de gestion des navigateurs vous permet d’appliquer des politiques dans toute l’entreprise, afin que les extensions, les profils, les mots de passe, les mises à jour et la surveillance fonctionnent conformément à vos besoins.
Conseil n° 1 : appliquez une politique de navigateur gérée pour la gouvernance des extensions
Les extensions s’installent facilement et améliorent la productivité des utilisateurs, mais elles sont rarement réexaminées après leur installation. Une extension dotée d’autorisations étendues peut lire le contenu des pages, capturer des identifiants, accéder à l’historique de navigation et acheminer l’activité vers des serveurs externes, et tout cela sans bruit.
Pour bien gérer les extensions, pensez à :
- tenir à jour et appliquer de façon centralisée une liste d’extensions autorisées et bloquées
- faire examiner et valider les demandes d’installation d’extensions par les équipes informatiques
- appliquer des restrictions plus strictes aux équipes et services les plus exposés
- passer régulièrement en revue l’inventaire des extensions et supprimer celles qui ne servent plus
Une gouvernance efficace des extensions ne se configure pas une fois pour toutes : elle doit s’inscrire dans un processus continu de gestion de la politique de navigateur.
Conseil n° 2 : définissez des règles de sécurité pour les profils et la synchronisation
La plupart des navigateurs modernes permettent aux utilisateurs de se connecter avec plusieurs comptes et synchronisent automatiquement les données de navigation entre les appareils : mots de passe, extensions, favoris et saisie automatique. Pratique pour les utilisateurs, cette fonctionnalité crée en revanche une importante faille de contrôle pour les équipes informatiques.
Dans les environnements BYOD (bring your own device), les données de navigation d’un compte professionnel peuvent se synchroniser par accident vers un profil personnel et échapper ainsi au contrôle et à la supervision de l’entreprise. Résultat : des mots de passe qui se retrouvent sur des appareils personnels, ou des extensions qui se propagent vers des appareils non gérés.
Pour éviter cela, votre politique de navigateur doit définir :
- si les profils personnels sont autorisés sur les appareils de l’entreprise
- si les utilisateurs doivent s’authentifier avec un compte professionnel
- quels types de données, le cas échéant, peuvent être synchronisés entre les appareils
- comment les données de navigation sont traitées et supprimées lors du départ d’un collaborateur
C’est en traçant une frontière nette entre navigation professionnelle et navigation personnelle que les données de l’entreprise restent dans le périmètre de votre politique de navigateur gérée.
Conseil n° 3 : renforcez la sécurité de la navigation avec des contrôles sur les mots de passe et la saisie automatique
Les navigateurs proposent nativement d’enregistrer les mots de passe et de remplir les champs automatiquement, ce qui évite de saisir à nouveau ses identifiants. Mais cette pratique peut entrer en conflit avec les bonnes pratiques en matière de politique de mots de passe, en particulier dans les environnements qui s’appuient sur un gestionnaire de mots de passe approuvé.
Lorsque les collaborateurs enregistrent leurs identifiants dans leur navigateur, vous perdez le contrôle et la visibilité sur leur stockage, leur sécurité et leur durée de conservation. La saisie automatique aggrave le problème en renseignant automatiquement identifiants et données sensibles, qui peuvent alors être saisis sur des pages de phishing ou des sites non autorisés.
Parmi les bonnes pratiques pour les mots de passe et la saisie automatique :
- indiquez clairement s’il faut utiliser le stockage de mots de passe du navigateur ou un gestionnaire de mots de passe dédié pour l’entreprise
- désactivez l’enregistrement des mots de passe pour les comptes à privilèges
- limitez la saisie automatique sur les champs sensibles et à risque
- exigez la MFA (authentification forte) pour les applications critiques pour l’activité
La sensibilisation améliore l’hygiène des mots de passe, mais les politiques doivent malgré tout être appliquées partout où c’est possible : même des utilisateurs bien formés commettent des erreurs.
Conseil n° 4 : faites des mises à jour du navigateur une opération de maintenance non négociable
Les utilisateurs consultent chaque jour des sites non fiables, et un navigateur obsolète amplifie ce risque. Les vulnérabilités connues des navigateurs non corrigés sont activement répertoriées : les attaquants n’ont donc pas besoin d’inventer de nouvelles techniques, surtout quand les anciennes fonctionnent encore.
Les retards de mise à jour viennent en général du fait que les utilisateurs reportent le redémarrage du navigateur après l’installation d’un correctif, et que des navigateurs obsolètes peuvent subsister sur des systèmes anciens. Sans suivi centralisé, vous n’avez aucune idée des versions de navigateur utilisées sur vos systèmes.
Cela dit, une politique de navigateur gérée doit :
- imposer les mises à jour automatiques
- définir une version minimale requise du navigateur
- inclure un reporting sur les appareils non conformes
- uniformiser les paramètres de navigation sécurisée et d’anti-phishing dans tout l’environnement
Au-delà des versions obsolètes, des paramètres de sécurité incohérents, comme des autorisations trop larges pour la caméra ou le microphone, ainsi qu’une gestion laxiste des téléchargements, peuvent exposer même un navigateur parfaitement à jour.
Conseil n° 5 : intégrez la visibilité à votre stratégie de sécurité du navigateur
Le navigateur manipule chaque jour des identifiants, des fichiers envoyés et des accès SaaS, et pourtant la plupart des entreprises n’en conservent aucune trace auditable. Malgré cette absence de supervision, il continue de traiter des identifiants, des envois de fichiers, des accès à des applications SaaS et des données sensibles.
Cet angle mort réduit fortement votre capacité à réagir aux incidents liés au navigateur. Après le signalement d’un événement de sécurité, il n’y a souvent aucune piste à suivre ni aucun contexte sur lequel s’appuyer.
Pour améliorer la visibilité sur les navigateurs de votre environnement, il est important de :
- tenir un inventaire des navigateurs et des extensions sur les appareils gérés
- surveiller les versions de navigateur et signaler les appareils non conformes
- relier les alertes aux plateformes de gestion des services informatiques (ITSM) ou aux processus de sécurité
- définir des Runbooks clairs pour les menaces passant par le navigateur
La visibilité vous donne une vision claire de l’activité des navigateurs dans tout l’environnement : vous détectez les problèmes plus tôt, vous réagissez avec précision et vous comblez les failles avant qu’elles ne soient exploitées.
La politique de navigateur gérée au service de la sécurité de l’entreprise
Ensemble, les cinq bonnes pratiques présentées dans ce guide constituent le socle de votre politique de navigateur. Mettre en place une politique de navigateur gérée garantit que ces contrôles s’appliquent de façon homogène à tous les appareils gérés.
En centralisant leur application, vous passez d’une configuration appareil par appareil à une référence de configuration standard, où les dérives, les exceptions et les failles sont traitées avant de dégénérer en incidents.
De plus, une politique de navigateur est d’autant plus efficace qu’elle vient compléter les outils et les règles de sécurité déjà en place, pour que rien ne passe entre les mailles du filet. Par exemple, une entreprise qui dispose d’un gestionnaire de mots de passe approuvé mais d’aucune politique de stockage des mots de passe conserve une faille, puisque les collaborateurs peuvent toujours enregistrer leurs identifiants dans leur navigateur.
L’objectif est de créer un environnement de navigation sécurisé par défaut, appliqué de façon homogène et cohérent, afin que les utilisateurs n’aient pas à bricoler des contournements susceptibles d’introduire de nouveaux risques.
Hiérarchiser les failles de sécurité du navigateur
Il n’est pas conseillé de corriger d’un seul coup toutes les failles identifiées : elles ne présentent pas toutes le même niveau de risque. Concentrez-vous plutôt sur les zones où le risque d’exposition est le plus élevé.
Commencez donc par les utilisateurs qui manipulent des données sensibles ou qui travaillent en dehors des contrôles existants sur les terminaux : administrateurs à privilèges, équipes les plus exposées et utilisateurs en BYOD.
Étendez ensuite la couverture aux applications web anciennes et aux processus de transfert de fichiers à fort volume, avant de traiter les segments les moins à risque de l’environnement.
Sécuriser le navigateur, c’est le gérer
C’est dans le navigateur que le travail se fait, et pourtant il reste un angle mort dans de nombreux environnements : une porte laissée ouverte à d’éventuelles attaques. Les cinq bonnes pratiques de ce guide vous aident à éviter cela en définissant des politiques, en les appliquant de façon homogène et en traitant le navigateur comme une surface de sécurité à gérer.
Pour aborder les failles du navigateur de façon structurée, commencez par gérer les utilisateurs les plus à risque et par combler les failles les plus exposées, puis passez à celles qui présentent moins de risques.
Sujets connexes :
- Comment fonctionne le blocage de sites web sur les appareils Android
- Comment utiliser PowerShell pour lister toutes les extensions de navigateur sur Windows
- Guide complet pour lister les extensions de navigateur sur macOS
- Comment masquer ou afficher le contrôle des applications et du navigateur dans la sécurité Windows sous Windows 10
