Checklist de Sécurité Web : Guide de Sécurité Complet

OWASP Top 10

1. Broken Access Control : Contrôles d'autorisation manquants. Les utilisateurs peuvent accéder à des ressources pour lesquelles ils ne sont pas autorisés.

2. Cryptographic Failures : Données sensibles non chiffrées ou chiffrement faible utilisé.

3. Injection : Injection SQL, NoSQL, OS, LDAP. Quand l'entrée utilisateur est directement ajoutée à la requête.

4. Insecure Design : Design avec des vulnérabilités de sécurité. Pas de threat modeling effectué.

5. Security Misconfiguration : Paramètres par défaut, mode debug ouvert, headers de sécurité manquants.

6. Vulnerable Components : Bibliothèques tierces avec des vulnérabilités de sécurité. Dépendances obsolètes.

7. Authentication Failures : Politique de mot de passe faible, erreurs de gestion de session, pas de protection brute force.

8. Software and Data Integrity Failures : Sécurité du pipeline CI/CD, intégrité des dépendances, désérialisation non sécurisée.

9. Security Logging Failures : Logging insuffisant, pas de monitoring, pas de plan de réponse aux incidents.

10. SSRF (Server-Side Request Forgery) : Le serveur fait une requête à une URL contrôlée par l'attaquant.

Headers de Sécurité

CSP renforce la protection ; unsafe-inline peut l’affaiblir. Utilisez des nonces ou hachages pour les scripts nécessaires.

Strict-Transport-Security (HSTS) : Dit au navigateur de ne se connecter que via HTTPS. max-age=31536000; includeSubDomains; preload.

X-Content-Type-Options : La valeur nosniff désactive le MIME type sniffing.

X-Frame-Options : DENY ou SAMEORIGIN. Empêche la page d'être affichée dans un iframe (clickjacking).

Referrer-Policy : strict-origin-when-cross-origin. Contrôle les informations du referrer.

Permissions-Policy : Contrôle les fonctionnalités du navigateur comme la caméra, le microphone, la géolocalisation.

Authentification et Autorisation

Politique de mot de passe : Minimum 8 caractères, majuscules/minuscules, chiffre, caractère spécial. Hachage de mot de passe (bcrypt, Argon2).

Authentification multifacteur (MFA) : 2FA ou MFA obligatoire. TOTP (Google Authenticator), SMS, clé matérielle (YubiKey).

Gestion de session : Cookies Secure, HttpOnly, SameSite. Timeout de session, limite de sessions concurrentes.

JWT : Token d'accès de courte durée (15 min) + token de refresh de longue durée (7 jours). Rotation de token.

OAuth 2.0 / OpenID Connect : Authentification tierce. Login avec Google, GitHub, Apple.

RBAC : Role-Based Access Control. Rôles utilisateur et permissions. Principe du moindre privilège.

Validation et Sanitisation des Entrées

Validation côté serveur : Validez toutes les entrées côté serveur. La validation côté client n'est pas suffisante.

Prévention de l'injection SQL : Utilisez des requêtes paramétrées / prepared statements. Les ORMs (Prisma, SQLAlchemy) fournissent une protection automatique.

Prévention XSS : Encodage de sortie. Échappement automatique de React/Vue. textContent au lieu de innerHTML.

Prévention CSRF : Tokens CSRF. Attribut de cookie SameSite. Pattern de cookie double submit.

Sécurité du téléversement de fichiers : Contrôle du type et de la taille du fichier. Ne donnez pas la permission d'exécution dans le répertoire de téléversement. Scan de virus.

Surveillance et Réponse de Sécurité

Logging : Loggez tous les événements d'authentification, d'autorisation et d'erreur. Logging centralisé (ELK, Loki).

Monitoring : Détection d'anomalies. Tentatives de login échouées, patterns de trafic inhabituels, pics de taux d'erreur.

Plan de réponse aux incidents : Planifiez comment répondre aux incidents de sécurité. Runbooks, chemins d'escalade.

Scan de vulnérabilités : Scan de sécurité régulier. OWASP ZAP, Burp Suite, Snyk.

Tests de pénétration : Test de pénétration professionnel au moins une fois par an. Rapport de constats et plan de correction.

Checklist de Sécurité

✓ HTTPS actif sur toutes les pages

✓ Headers de sécurité (CSP, HSTS, X-Content-Type-Options, X-Frame-Options) configurés

✓ Validation des entrées appliquée sur tous les endpoints

✓ Protection contre l'injection SQL (requêtes paramétrées)

✓ Protection contre XSS (encodage de sortie, CSP)

✓ Protection contre CSRF (tokens, cookies SameSite)

✓ Authentification (MFA, politique de mot de passe fort)

✓ Autorisation (RBAC, moindre privilège)

✓ Sécurité des dépendances (npm audit, Snyk)

✓ Logging et monitoring actifs

✓ Plan de backup et de reprise après sinistre

✓ Plan de réponse aux incidents

• MDN: Content Security Policy