Recevoir ses alertes de sécurité serveur sur Slack : le guide
Les alertes de sécurité ont un problème : elles arrivent là où personne ne regarde. Un e-mail automatique noyé dans la boîte de réception, une console qu'on n'ouvre qu'en cas de panne, un fichier de journal sur le serveur.
Slack est l'endroit où votre équipe passe sa journée. Y envoyer les informations de sécurité, c'est s'assurer qu'elles sont vues.
Alerte immédiate ou rapport quotidien ?
Tout envoyer sur Slack en temps réel est la meilleure façon de rendre le canal inutile : au bout d'une semaine, plus personne ne lit les messages. Il faut distinguer deux types d'informations :
| Type | Exemples | Canal |
|---|---|---|
| Alerte immédiate | Fichier infecté détecté, service critique arrêté, connexion root inhabituelle | Message instantané |
| Synthèse quotidienne | Tentatives bloquées, versions à mettre à jour, tendances de performance | Un rapport par jour |
Une bonne règle : une alerte immédiate doit demander une action dans l'heure. Tout le reste va dans le rapport du jour.
Créer un webhook entrant Slack
Le webhook entrant est le moyen le plus simple de publier dans un canal depuis un serveur :
- Créez un canal dédié, par exemple #securite-serveur.
- Ouvrez api.slack.com/apps et créez une application From scratch.
- Dans Incoming Webhooks, activez la fonctionnalité.
- Cliquez sur Add New Webhook, choisissez le canal et autorisez.
- Copiez l'URL générée.
Pour tester depuis un serveur :
curl -X POST -H 'Content-Type: application/json' \
--data '{"text":"Test : connexion Slack OK"}' \
https://hooks.slack.com/services/XXX/YYY/ZZZProtéger l'URL du webhook
L'URL d'un webhook permet à n'importe qui de publier dans votre canal. Traitez-la comme un mot de passe :
- ne la versionnez jamais dans un dépôt de code ;
- ne la stockez pas en clair dans un script lisible par tous ;
- régénérez-la si elle a fuité, en supprimant l'ancien webhook dans la configuration de l'application.
Rendre le rapport lisible
Un bon rapport de sécurité sur Slack tient en un écran :
- une ligne d'en-tête avec les indicateurs clés (niveau de menace, CPU, disque, nombre de vulnérabilités) ;
- les alertes critiques en premier, ou « rien à signaler » ;
- les actions recommandées, deux ou trois au maximum ;
- le détail technique en dessous, pour ceux qui veulent creuser.
C'est là que l'IA est utile : transformer des milliers de lignes de journaux en un message court, en français, qui dit quoi faire.
Questions fréquentes
Faut-il un canal par serveur ?
Pas au début. Un canal unique avec un rapport par serveur reste lisible jusqu'à une dizaine de serveurs. Au-delà, regroupez par environnement (production, préproduction).
Mon administrateur Slack doit-il approuver l'application ?
Selon les réglages de votre espace de travail, l'installation d'une application peut nécessiter une approbation. Le webhook ne donne qu'un droit de publication dans un canal précis.
Avec FondateurMode, une commande suffit : fondateurmode slack set-webhook URL. L'URL est stockée chiffrée hors de votre serveur, et vous recevez chaque jour un rapport clair, plus une alerte immédiate en cas de fichier infecté. Lire le guide Slack.