À retenir
- Les défauts de contrôle d'accès sont le problème le plus fréquent et le plus grave.
- Secrets, configuration et dépendances méritent autant d'attention que le code.
- Journaliser les événements de sécurité pour pouvoir enquêter sur les incidents.
- Revoir la sécurité avant le lancement et après chaque changement majeur.
La plupart des failles dans les logiciels d'entreprise viennent de lacunes ordinaires, pas d'attaques exotiques. Une checklist pratique de sécurité applicative pour les équipes qui construisent et exploitent des systèmes web et mobiles.
Le contrôle d'accès d'abord
Un contrôle d'accès défaillant – des utilisateurs qui atteignent des données ou actions qui ne leur sont pas destinées – est la faille grave la plus fréquente dans les applications métier. Vérifiez les permissions côté serveur à chaque requête, cloisonnez les données par organisation et par rôle, et testez les cas négatifs : ce qu'un utilisateur ne doit pas pouvoir faire.
Authentification et sessions
Lorsque c'est possible, intégrez l'authentification unique (SSO) pour que les comptes soient gérés centralement et supprimés au départ des personnes.
- Proposer l'authentification multifacteur, et l'exiger pour les administrateurs.
- Stocker les mots de passe avec un algorithme de hachage moderne.
- Faire expirer les sessions et révoquer les jetons à la déconnexion et au changement de mot de passe.
- Protéger les endpoints de connexion et de réinitialisation par une limitation de débit.
Traitement des entrées et protection des données
Validez les entrées à la frontière, utilisez des requêtes paramétrées et encodez les sorties pour prévenir les injections et le cross-site scripting. Chiffrez les données en transit et au repos, et ne collectez que ce dont l'entreprise a réellement besoin – les données que vous ne détenez pas ne peuvent pas fuiter.
Configuration, secrets et dépendances
Beaucoup d'incidents commencent par un endpoint de test oublié, un bucket de stockage public ou une bibliothèque obsolète plutôt que par une faille dans le code principal.
- Conserver les secrets dans un coffre managé, jamais dans le code.
- Définir des en-têtes HTTP sécurisés et désactiver les fonctionnalités inutilisées.
- Analyser automatiquement les dépendances et appliquer rapidement les correctifs.
- Limiter les permissions cloud au strict nécessaire pour chaque service.
Journalisation, supervision et revue
Enregistrez les événements pertinents pour la sécurité – connexions, changements de permissions, exports, actions d'administration – et alertez sur les comportements inhabituels. Revoyez la sécurité avant chaque lancement majeur et après les changements d'architecture importants, en prenant l'OWASP Top 10 comme référence.
Cet article vous a plu ? Recevez le prochain par e-mail.