Peut-on tester soi-même gratuitement la sécurité d'une appli mobile sans payer une agence ?

La première chose à faire, c'est de scanner le code source pour vérifier si des mots de passe, des clés secrètes ou des chaînes de connexion à la base de données n'ont pas été oubliés. Les scanners de code gratuits trouvent ça en deux secondes.

La plupart des failles critiques sur mobile ne viennent pas du client, mais des services backend. Essayez de modifier un ID utilisateur pour récupérer les rendez-vous d'un autre salon : aucun outil auto gratuit ne détectera ce genre de faille logique à lui seul.

Sur notre première version, on a passé un coup d'outil statique open source et on a retrouvé un token de test oublié dans une dépendance. Zéro dépense et on a évité une fuite critique avant la mise en prod.

N'uploadez surtout pas votre binaire sur les soi-disant "tests de sécu gratuits en ligne". Balancer du code propriétaire sur des sites tiers, c'est créer un autre risque de sécurité.

Du coup ces outils gratuits vérifient aussi les failles de l'OS du smartphone ou ils regardent uniquement le code qu'on a écrit ?

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Ils analysent uniquement le package de votre appli et ses échanges avec le serveur. Les patchs de sécu de l'OS du téléphone relèvent du constructeur, le test mobile sert à évaluer la sécurité de votre propre code.

Dans l'appli d'un pote les numéros de réservation étaient séquentiels. Un type s'est amusé à incrémenter le chiffre dans l'URL et a pompé toute la liste des clients du salon. Ce genre d'erreur logique, c'est un humain attentif qui le voit, pas un script.

checkez aussi votre historique github des fois on supprime du code mais les cles api restent bien visibles dans les vieux commits.

Il faut y aller étape par étape. Si c'est une première, commencez petit l'échelle viendra plus tard.

Si la double authentification est activée, un mot de passe volé seul ne suffit pas. Je le note au cas où.

Pensez-vous que cela fonctionne à toutes les échelles ? Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Bien sûr, cela change si votre situation est différente.

J'ai vécu la même chose. Les gens défendent l'habitude pas le processus. La résistance vient de là.

Corrigez-moi si je me trompe.

chez moi, c'est l'inverse qui s'est passé c'est pourquoi j'écris. bon les décisions hâtives finissent par être corrigées six mois plus tard.

Je trouve difficile d'être aussi catégorique côté test de sécurité d'application mobile. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Voilà, désolé si je me suis étendu.

beau travail.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Commencez par un petit test ne vous engagez pas sur tout d'un coup.

Si j'ai bien compris, vous dites que : Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Je suis aussi curieux de savoir si d'autres font autrement.

ce sujet est archivé.

Merci pour votre retour.