Bugs&Hats

[Yan @YannnStudio]

On a collectivement pourri le web avec les bandeaux de cookies.

J'en vois partout sur tous les sites lambda, les sass qui viennent de démarrer, projets perso ...

Et le pire, c'est que 90 % des devs et créateurs s'infligent ça par pur réflexe, sans réfléchir.

Franchement, tu lances un petit SaaS, un portfolio ou une landing page propre, et le premier truc que tu balances à la gueule de ton visiteur, c'est une pop-up dégueulasse pour lui demander l'autorisation de respirer.

C'est absurde.

Faut rappeler un truc simple sur les cookies :

Les cookies techniques pour garder un mec connecté, son panier ou sa session : c'est nécessaire au fonctionnement et ça ne demande pas de consentement
Les préférences d'interface comme le dark mode ou la langue : pareil
Les traceurs publicitaires, Meta Pixel, retargeting et compagnie : là, tu rentres généralement dans le monde merveilleux du consentement et des bandeaux

Et le contresens absolu sur un petit projet ou un SaaS qui démarre, c'est que tu n'as souvent AUCUN besoin de traquer les gens partout sur le web.

Tu veux juste savoir combien de personnes sont venues aujourd'hui, d'où elles débarquent et quelles pages elles regardent.

Point.

En foutant GA4 par défaut, tu te retrouves à massacrer ton UX dès la première seconde avec une pop-up.

En plus, une partie de tes stats disparaît parce que les gens refusent le consentement ou bloquent les scripts.

Et tu charges un outil énorme avec des dizaines de fonctionnalités dont tu n'utiliseras probablement jamais 95 %.

Alors qu'on a des solutions beaucoup plus simples depuis des années : l'analytics sans cookies.

Umami, Plausible, Fathom, Pirsch...

Pas de cookies analytics
Pas de consentement nécessaire si ta configuration respecte les conditions d'exemption
Tu ne perds plus les visiteurs simplement parce qu'ils ont refusé les cookies
Des scripts légers
Une interface où tu vois l'essentiel en 3 secondes

Bref, si tu ne fais pas de pub ciblée et que tu veux juste comprendre le trafic de ton site, demande-toi sérieusement pourquoi tu installes GA4 par réflexe.

Prends une alternative respectueuse de la vie privée, configure-la correctement et vire ce foutu bandeau quand il n'a aucune raison d'être.

Le web s'en portera mieux (et moi quand je viendrais sur ton site)

[Lesley Carhart @hacks4pancakes]

I see this more and more as I hire senior IR people. Folks spend 2-4 years in an ostensible IR position but it’s become such a ticket / metrics farm they’ve had no room to grow, shadow, or develop outside an incredibly strict playbook. This doesn’t do anyone any favors… 🥲

[iFouine - Crosspost Mastodon @iFouine]

"Baptisée « #Log4Shell », cette faille de sécurité concerne plusieurs versions d’Apache, l’un des principaux logiciels utilisés pour faire fonctionner les serveurs"

https://t.co/Bf0W3cuoMr

#log4j

[Anton @Antonlovesdnb]

@PyroTek3 @Carlos_Perez @BlackMatter23 @jaredcatkinson @neu5ron @Cyb3rWard0g @Cyb3rMonk @nas_bench - great writeups and blogs
@Cyb3rSn0rlax - shares great info
@M_haggis - also great writeups and SPL
@ateixei - amazing Splunk / detection content
@arekfurt - thoughtful commentary

Missed a ton probably 💙

[Anton @Antonlovesdnb]

@PyroTek3 @Carlos_Perez-all the awesome Sysmon knowledge and tuning
@BlackMatter23 -turning threat reports into actionable defensive guidance
@jaredcatkinson - great frameworks for detection engineering
@neu5ron - HELK/Sigma+
@Cyb3rWard0g -labs+tools+datasets+
@Cyb3rMonk-sharing queries+

[Hal Pomeranz @hal_pomeranz]

Lately I’ve been dealing with a lot of ransomware cases. And often our team runs into issues with the IT staff from the victim organization.

[Melanie Ensign @iMeluny]

@jackshafer @snd_wagenseil @john_shier @patrickwardle @thepacketrat @thomasareed Did you? I’m quoted in it.

[Work Chronicles @_workchronicles]

IT Security

[Beth Griffith @bethangriffith]

How an NHS IT glitch nearly led to me being escorted off site - twice - for being a pretend doctor: a Twitter novella

[Bugs&Hats @BugsHats]

@MegabitMeghan Well, technically I do but I'm more of the "lurk, learn and retweet" rather than the posting type 😅

[Andy Greenberg (@agreenberg at the other places) @a_greenberg]

Confirming @briankrebs reporting that Chinese group Hafnium has now exploited Microsoft Exchange zero-days to hack tens of thousands of networks. One researcher says 30k servers in the US alone, hundreds of thousands globally. "China just owned the world." https://t.co/C1FkmBVLNI

[bearstech @bearstech]

4 erreurs de configuration classiques sur #Nginx qui exposent votre serveur web à des problèmes de sécurité https://t.co/368PKx8zID

[bearstech @bearstech]

Fixer les problèmes d'interface chaise / clavier dans votre organisation en créant une #culture de la #Sécurité (oui c'est du #cisco, mais ils font parfois des trucs intéressants entre deux #backdoors) : https://t.co/44qRr39Sa7

[mov eax, @k1LL_sw17ch]

We're hiring! #infosec
Wanna come work for me as a Sr. SOC Analyst?
We have a great team and we're a great company to work for!
DM's open!
If not interested, please RT for reach :)

[Nicolas Krassas @Dinosn]

Microsoft urges customers to patch critical Windows TCP/IP bugs https://t.co/t7zhS5kKq9

[SwiftOnSecurity @SwiftOnSecurity]

Must-read tour of a critical AD feature for all Windows admins, by one of the leads at Microsoft

[Baptiste Robert @fs0c131y]

Imagine que chacun développe des outils dans son coin. Non, je plaisante. Mais imagine quand même

[Steve Ragan ⚠️ @SteveD3]

that's fucking sick. just because you can, doesn't mean you should. Sure, the pretext worked, but who cares? You demoralized your people. You made their shitty year worse, and for what? A small improvement to awareness training metrics?

[ZDNet.fr @zdnetfr]

Les chercheurs en #cybersécurité découvrent des millions de dossiers médicaux et de données personnelles associées stockés de manière non sécurisée.

https://t.co/gx1wgZ9lka