Security by Default

Définition

Le principe Security by Default (sécurité par défaut) stipule que les systèmes, applications et services doivent être configurés de manière sécurisée dès leur déploiement, sans nécessiter d'intervention manuelle de l'administrateur pour activer les protections essentielles. Ce principe s'oppose à la pratique traditionnelle consistant à livrer des produits avec des configurations permissives pour faciliter l'adoption, en laissant à l'administrateur la responsabilité de les sécuriser. Le Security by Default est fondamental pour plusieurs raisons. Les études montrent que la majorité des administrateurs déploient les logiciels avec leurs configurations par défaut. Si ces configurations sont non sécurisées — mots de passe par défaut, ports ouverts inutilement, protocoles obsolètes activés, permissions excessives — les systèmes se retrouvent vulnérables sans que personne n'en soit conscient. Mirai, l'un des botnets les plus dévastateurs, a prospéré en exploitant des appareils IoT avec des identifiants par défaut inchangés. Le RGPD (Article 25) consacre ce principe sous la forme de la protection des données par défaut (Data Protection by Default), exigeant que le traitement de données personnelles soit limité au minimum nécessaire par défaut, sans action de l'utilisateur. En pratique, le Security by Default se traduit par : désactiver tous les services non nécessaires (ports, protocoles, modules), exiger un changement de mot de passe au premier démarrage, activer le chiffrement des communications par défaut, configurer les journaux d'audit dès l'installation, appliquer les paramètres les plus restrictifs compatibles avec la fonctionnalité, et refuser les connexions non chiffrées. Les éditeurs de logiciels qui adoptent ce principe prennent exemple sur des initiatives comme les CIS Benchmarks, les Security Technical Implementation Guides (STIG) du DoD américain, ou le guide ANSSI de configuration sécurisée. Ces référentiels définissent les configurations par défaut recommandées pour chaque type de système. Microsoft a considérablement amélioré sa posture Security by Default depuis Windows 10/Server 2016 : SMBv1 désactivé par défaut, pare-feu Windows activé, Windows Defender actif, et plus récemment l'exigence d'un compte Microsoft pour les installations grand public. Ces décisions ont eu un impact massif sur la sécurité globale de l'écosystème Windows.