Les pratiques de sécurité essentielles dans le développement d’applications web — Blog Robosoft

Le code sécurisé comme fondation

La plupart des failles commencent par une catégorie de vulnérabilité connue et évitable. Suivre les recommandations de l’OWASP en matière de code sécurisé ferme la majorité des vecteurs d’attaque courants avant qu’ils ne deviennent des incidents.

Isolez ce que vous pouvez

Découper une application en modules distincts limite la propagation d’une faille dans un composant : une fonctionnalité compromise ne devrait pas vouloir dire une base de données compromise.

Une défense qui observe, pas seulement qui bloque

Un pare-feu applicatif web filtre les schémas d’attaque connus comme l’injection SQL et le XSS, mais la journalisation et la surveillance, idéalement via un système SIEM, sont ce qui détecte les attaques qui ne correspondent à aucun schéma connu.

Testez-la comme le ferait un attaquant

Des analyses de vulnérabilités et des tests d’intrusion réguliers, menés par d’autres personnes que celles qui ont construit le système, détectent ce qui est invisible de l’intérieur. Associez-les à un plan de réponse aux incidents pour qu’une faille, si elle survient, soit une procédure et non une panique.

Une liste minimale pour commencer

• Des requêtes paramétrées partout, pas de SQL construit par concaténation de chaînes
• Des dépendances mises à jour selon un calendrier, pas seulement quand quelque chose casse
• Des secrets hors du gestionnaire de versions, dans des variables d’environnement ou un gestionnaire de secrets
• HTTPS imposé partout, pas seulement sur la page de connexion