Audit de sécurité avant de payer — y a-t-il une checklist de sécurité web qu'on peut appliquer nous-mêmes ?

Ouvrez la console développeur de votre navigateur, allez dans l'onglet sécurité et scannez votre site avec des outils gratuits d'analyse d'en-têtes. Ajouter les en-têtes de sécurité manquants dans la config de votre serveur vous prend 30 minutes et ça élimine déjà la moitié du rapport.

Dans le rapport de test d'intrusion qu'on a payé 3 200 livres l'an dernier, il y avait 11 findings. 7 d'entre eux étaient des en-têtes manquants sur le serveur et du listing de répertoires ouvert. Si on avait fait ces contrôles avant, on aurait pu forcer la boîte d'audit à chercher les vraies failles de logique dans le flux de paiement de l'appli.

Personnalisez absolument vos pages d'erreur. Si votre serveur ou votre logiciel balance une stack trace ou la version de la base de données à l'écran quand il renvoie une erreur 500, vous donnez la carte à l'attaquant. En prod, désactivez tous les détails d'erreur et affichez juste un code d'erreur générique.

Ajoutez aussi ça à votre checklist : 1) Les tokens CSRF actifs sur les formulaires de réservation. 2) Ne pas exposer de panneaux cachés ou de répertoires de backup dans le robots.txt. 3) Scanner le serveur pour les fichiers de config sensibles oubliés type .zip, .sql ou .env.

Avec votre propre checklist vous assurez l'hygiène de base mais ne croyez pas que c'est un substitut au test professionnel. Les failles de logique métier (par exemple une élévation de privilèges en changeant l'ID de réservation de quelqu'un d'autre pour voir son dossier) ne sortent dans aucune liste automatique. Faites votre checklist mais ne rangez pas complètement l'audit au placard.

je vous conseille aussi de vérifier votre système de backup. la sécurité c'est pas juste le moment de l'attaque ; si un truc tourne mal est-ce que vous pouvez revenir aux données propres d'il y a 1 heure et est-ce que ce backup est sur un autre serveur isolé, c'est super critique.

Comme vous opérez au Royaume-Uni, la protection des données utilisateurs engage directement votre responsabilité légale. Formaliser et dater vos contrôles de base dans un rapport de sécurité interne prouve la bonne foi et l'approche proactive de votre structure en cas d'audit de sécurité des données.

Pas de panique vous pouvez boucler ces contrôles en une journée. Corrigez au moins les configs de base avant d'y aller ; quand vous direz "on a fait les contrôles de base, on vous demande juste une analyse profonde de logique métier", ils peuvent même baisser le prix du devis.

Je suis du même avis. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Corrigez-moi si je me trompe.

je suis intéressé. bref les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois puis si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

Il y a un point auquel il faut faire attention. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Essayer de faire cela seul est la voie la plus coûteuse. Bon courage.

La réponse ci-dessus va droit au but. Essayer de faire cela seul est la voie la plus coûteuse.

Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement. À votre place, j'irais par cette voie.

Ce sujet est archivé.

ne manquez rien : Le temps que vous mettez à détecter un problème détermine directement son coût.

bien sûr, cela chage si votre situation est différente.

J'aurais une question, sans vouloir m'éloigner du sujet. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Corrigez-moi si je me trompe.

nous avons vécu presque la même chose l'année dernière. la sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

je suis aussi curieux de savoir si d'autres font autrement.

Je vais essayer.

Trois avis différents sont sortis ils se complètent tous. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.