Notes de sécurité pour les développeurs de solutions Office

Définir la sécurité d’Office dans un environnement de test

Remarque

Vous pouvez inclure du code Visual Basic pour Applications (VBA) ou exécuter des compléments COM uniquement dans un document, une feuille de calcul ou une présentation prenant en charge les macros. Vous pouvez créer un fichier prenant en charge les macros en enregistrant les documents avec une extension .docm ou .dotm dans Word . une extension .xlsm, .xltm ou .xlam dans Excel ; ou une extension .pptm, .potm, .ppam ou .ppsm dans PowerPoint.

Pour installer et exécuter un complément COM non signé, les options Exiger que les compléments d’application soient signés par un éditeur approuvé et Désactiver tous les compléments d’application doivent être désactivées sous l’onglet Compléments du Centre de gestion de la confidentialité. Pour ouvrir l’onglet Compléments, choisissez l’onglet Fichier, puis choisissez Options>Centre> de gestion de la confidentialitéParamètres du Centrede gestion dela confidentialité Compléments>.

Pour exécuter toutes les macros VBA, y compris celles non signées numériquement, l’option Activer toutes les macros doit être sélectionnée dans le Centre de gestion de la confidentialité. Pour afficher les options Paramètres des macros, choisissez l’onglet Fichier, puis choisissez Options>Centre> de gestion de la confidentialitéParamètres Paramètres>macros. Pour des raisons de sécurité, il est fortement recommandé de réaliser cette procédure dans un environnement de test. Une fois le test terminé, redéfinissez les options à leur état d’origine.

Sous l’onglet Paramètres des macros du Centre de gestion de la confidentialité, définissez les options sur Désactiver toutes les macros sans notification, Désactiver toutes les macros avec notification ou Désactiver toutes les macros à l’exception des macros signées numériquement. Désactivez les macros en enregistrant le document Word, la feuille de calcul Excel ou la présentation PowerPoint en tant que fichiers désactivés par macro (.docm, .xlsm ou .pptm, respectivement). Définissez ou désactivez l’accès au modèle objet de projet VBA à partir de l’onglet Paramètres des macros en sélectionnant ou en désactivant l’option Approuver l’accès au modèle objet de projet VBA .

Remarque

Dans le ruban de l’interface utilisateur Office Fluent, lorsque des compléments COM et autres compléments spécifiques à une application sont activés et chargés, leurs contrôles sont affichés dans un onglet Compléments.

Consultez la liste des compléments disponibles sous l’onglet Compléments du Centre de gestion de la confidentialité. Sous le même onglet, activez, désactivez, ajoutez ou supprimez les compléments COM ou Word en sélectionnant le type de complément dans la zone de liste déroulante en regard de l’étiquette Gérer , puis choisissez le bouton Atteindre .

Modifier le Registre Windows

La modification du Registre Windows de quelque manière que ce soit, que ce soit dans l’Éditeur du Registre ou par programme, comporte toujours un certain degré de risque. Une modification incorrecte peut entraîner de graves problèmes, pouvant nécessiter la réinstallation du système d’exploitation. Il est toujours recommandé de sauvegarder d’abord le registre d’un ordinateur avant de le modifier. Si vous exécutez Microsoft Windows NT, Windows 2000, Windows XP ou Windows Server 2003, vous devez également mettre à jour votre disque de réparation d’urgence (ERD).

Pour plus d’informations sur la modification du Registre, consultez la rubrique d’aide Modification des clés et des valeurs dans l’Éditeur du Registre (Regedit.exe) ou les rubriques Ajouter et supprimer des informations dans le Registre et Modifier les informations du Registre dans l’Éditeur du Registre (Regedt32.exe).

Effectuer des appels de fonction d’API Windows

Avant d’appeler les fonctions de l’INTERFACE de programmation d’applications (API) Windows, vous devez comprendre comment les arguments et les types de données sont gérés par les DLL de l’API Windows. Les appels incorrects de fonctions Windows peuvent entraîner des erreurs de page non valide ou tout autre comportement inattendu. Pour plus d’informations sur l’appel de fonctions Windows, consultez la rubrique « L’API Windows et d’autres bibliothèques Dynamic-Link » dans la documentation Office 2000 Developer Online.

Code de signature numérique

La signature numérique d’un document consiste à « tamponner » un document afin que le destinataire du document soit certain qu’il provient d’une source spécifique, et peut déterminer si le contenu du document a été modifié depuis la signature du document. En outre, les signatures numériques permettent également de marquer un document comme étant en lecture seule afin de protéger son authenticité et son intégrité.

Outre les signatures numériques, les documents peuvent également contenir des signatures internes visibles dans le contenu du document. L’expéditeur du document peut créer des documents non signés avec des lignes de signature où le destinataire peut appliquer sa signature. Le destinataire ouvre le document, repère la ligne de signature, signe le document, puis le renvoie à l’expéditeur.

En général, les étapes pour signer numériquement un document incluent :

1. L’initiateur du document compacte le contenu du document en quelques lignes à l’aide d’un processus appelé « hachage ». Le contenu compressé est appelé synthèse de message. Le hachage est effectué par un logiciel créé à cette fin.
2. L’expéditeur du document chiffre ensuite la synthèse du message à l’aide d’une clé privée obtenue auprès d’une autorité de signature. Le résultat est une signature numérique.
3. L’expéditeur joint la signature numérique au document. Toutes les données hachées sont alors signées, et la signature est chiffrée et jointe au document.
4. L’expéditeur envoie ensuite le document au destinataire.
5. Tout d’abord, le destinataire déchiffre le document à l’aide d’une clé publique reçue de l’expéditeur. Ceci modifie à nouveau la signature en synthèse du message. En cas de réussite, cela prouve que le document a bien été signé par l’expéditeur.
6. Le destinataire, à l’aide d’un logiciel de signature numérique, hache le document dans une synthèse du message et compare ce hachage à celui de l’expéditeur. S’ils correspondent, cela indique que le contenu du document n’a pas été modifié depuis que le document a été envoyé par l’expéditeur.

Les signatures numériques sont disponibles depuis Office XP. Cependant, Office 2007 disposait de fonctionnalités supplémentaires permettant aux utilisateurs de signer numériquement des documents, signer des documents pour les définir en lecture seule et d’ajouter des lignes de signature dans un document plus facilement. Les utilisateurs d’Office peuvent effectuer ces tâches à partir de l’interface utilisateur Office disponible sous l’onglet Fichier .

Office 2007 a également introduit des membres qui facilitent l’utilisation de signatures en ligne et de signatures numériques par programme.

Déployer des compléments COM managés dans Office en toute sécurité

Pour se conformer à la sécurité d’Office, les compléments COM gérés (compléments COM ciblant le Common Language Runtime) doivent être signés numériquement et les paramètres de sécurité des utilisateurs doivent être définis dans le Centre de gestion de la confidentialité Office pour autoriser les compléments dans vos applications Office. En outre, vous pouvez incorporer dans votre projet de complément COM géré un petit proxy non géré appelé shim pour éviter les avertissements de sécurité inattendus.

Automatiser Visual Basic Editor

Dans Office, lorsque vous appelez les fonctionnalités du modèle objet d’extensibilité Visual Basic pour Applications, vous pouvez recevoir un message d’erreur indiquant que l’accès par programmation au projet Visual Basic n’est pas approuvé. Pour empêcher l’affichage de ce message, choisissez l’onglet Options>de l’onglet > FichierCentre de gestion de la confidentialité, puis choisissez Paramètres du Centre de gestion de la confidentialité. Ensuite, sous l’onglet Paramètres de macro, choisissez la zone Approuver l’accès au modèle objet du projet VBA . En cochant cette case, vous permet aux macros de tous les documents avec macro que vous ouvrez d’accéder aux principaux objets, méthodes et propriétés Visual Basic.

La définition de cette option représente une éventuelle brèche de sécurité. Il est recommandé d’activer la case Accès approuvé au modèle d’objet du projet VBA uniquement lorsqu’une macro doit accéder au modèle d’objet Visual Basic. Assurez-vous de désactiver la case Accès approuvé au modèle d’objet du projet VBA une fois la macro exécutée.

Utiliser des mots de passe

Évitez d’utiliser des mots de passe codés en dur dans vos applications. Si un mot de passe est requis dans une procédure, demandez-le à l’utilisateur, stockez-le dans une variable, puis utilisez la variable dans votre code.

Utilisez toujours des mots de passe forts. Les mots de passe forts doivent contenir :

• Caractères minuscules et majuscules
• Nombres
• Symboles (tels que #, $, %et ^)
• Au moins huit caractères

Les mots de passe forts ne doivent pas contenir de texte récurrent, de thèmes ou de mots se trouvant dans un dictionnaire.

Des exemples de mots de passe sont :

• $tR0n9p@$s
• G80dn[s$M4!

Remarque

Vous devez changer votre mot de passe régulièrement ; par exemple, tous les 1 à 3 mois.

Assistance et commentaires

Avez-vous des questions ou des commentaires sur Office VBA ou sur cette documentation ? Consultez la rubrique concernant l’assistance pour Office VBA et l’envoi de commentaires afin d’obtenir des instructions pour recevoir une assistance et envoyer vos commentaires.