Ce que contient réellement votre GLPI
Avant de parler réglages, il faut mesurer l'enjeu. Une instance en exploitation contient :
- les identifiants du compte de service de l'annuaire, chiffrés mais présents
- la cartographie complète du parc : versions de systèmes, logiciels installés, adresses, ports de commutateurs
- les tickets, où se trouvent des mots de passe temporaires, des captures d'écran, des données personnelles
- les jetons d'API, qui donnent le tout à un programme
Formulé autrement : quelqu'un qui obtient un compte administrateur GLPI connaît vos machines non à jour et sait où frapper. C'est un outil de reconnaissance prêt à l'emploi.
Les six réglages qui comptent
La double authentification sur les comptes à privilèges. GLPI la propose nativement, par application d'authentification. À imposer au minimum aux profils Super-Admin et aux techniciens. Un mot de passe seul, sur une interface web accessible, ne suffit plus.
La politique de mots de passe locale. Elle ne concerne que les comptes qui ne viennent pas de l'annuaire, donc l'administrateur de secours et les comptes de service. Longueur minimale, complexité, historique : ce sont précisément les comptes les plus intéressants pour un attaquant.
La limitation des tentatives. Sans elle, une interface exposée subit des essais en continu. GLPI sait verrouiller après un nombre d'échecs.
Le journal des connexions. Il existe, il est rarement consulté. La requête utile : les connexions réussies en dehors des heures ouvrées sur un compte à privilèges.
La revue des Super-Admin. Deux comptes, pas plus, nommément connus. Un profil administrateur accordé pour dépanner et jamais retiré est le cas le plus fréquent.
La durée de session, courte pour les profils à privilèges, pour qu'un poste laissé ouvert ne reste pas administrateur toute la journée.
Les jetons d'API, cas particulier
Rappel du chapitre précédent, avec la conséquence sécurité : un jeton porte les droits de son compte, et il ne présente ni double authentification, ni verrouillage après échecs. C'est la porte la moins protégée de l'instance.
Trois règles : un compte de service par intégration avec un profil taillé, jamais un Super-Admin, et une révocation au moindre doute. Un jeton se régénère en dix secondes ; chercher ce qui a fuité prend des jours.
L'exposition réseau
La question à trancher explicitement : GLPI doit-il être joignable depuis Internet ?
Non, dans la majorité des PME. Le support travaille sur site ou par le tunnel d'accès distant, et l'instance reste interne. C'est la configuration la plus sûre, et elle coûte zéro.
Oui, si le télétravail l'exige. Alors HTTPS avec un certificat valide, double authentification obligatoire, journal surveillé, et correctifs appliqués rapidement.
Le cas dangereux est l'intermédiaire : une instance publiée « provisoirement » pendant une période de télétravail, jamais refermée, et que personne ne surveille.
À retenir
GLPI contient de quoi cartographier votre parc et attaquer ses points faibles. Double authentification sur les profils à privilèges, politique locale pour les comptes hors annuaire, verrouillage après échecs, sessions courtes, deux Super-Admin nommés. Et les jetons d'API sont la porte la moins protégée : un compte de service par intégration, révocation au doute.