Développement Web - Développer des applications sécurisées

Objectif : Intégrer la sécurité dès la phase de conception et maîtriser les mécanismes de défense du protocole HTTP.

• Principes du Security by Design et de la défense en profondeur applicative.
• Modélisation des menaces (Threat Modeling) avec la méthodologie STRIDE.
• Sécurisation des en-têtes HTTP : Content Security Policy (CSP), Strict-Transport-Security (HSTS), X-Frame-Options, SameSite Cookies.

Atelier pratique : Réalisation du diagramme de modélisation des menaces STRIDE sur une application de paiement en ligne.

Cas métier : Cadrage de l'architecture d'un nouveau portail client- Définition des exigences de sécurité applicatives.

Compétence acquise : Modéliser les menaces applicatives et sécuriser les en-têtes HTTP d'une application Web.

Livrable : Le dossier de modélisation des menaces STRIDE et le jeu d'en-têtes HTTP de sécurité.

Objectif : Neutraliser les failles d'injection SQL, Command Injection et PathTraversal.

• Mécanismes d'attaque par Injection SQL (In-band, Blind, Time-based).
• Injections de commandes système et traversée de répertoires (PathTraversal).
• Techniques de neutralisation : requêtes préparées (ORMs /ParameterizedQueries), validation par liste blanche (Allow-listing) et assainissement des entrées.

Atelier pratique : Exploitation d'une injection SQL dans un formulaire de connexion et réécriture du code vulnérable avec des requêtes préparées.

Cas métier : Sécurisation d'un moteur de recherche interne- Correction des failles d'injection SQL et de commandes.

Compétence acquise : Éliminer 100 % des risques d'injections SQL et de commandes dans le code.

Livrable : Le guide de codage sécurisé pour la validation des entrées et l'accès aux bases de données.

Objectif : Implémenter la neutralisation des attaques XSS (Reflected, Stored, DOM) et CSRF.

• Typologies des attaques XSS : Reflétez, Stockée et DOM-based XSS.
• Risques liés au XSS : vol de jetons de session, défacement et redirection malveillante.
• Mécanismes d'attaque CSRF et vol d'actions utilisateur.
• Techniques de défense : encodage contextuel des sorties (Contextual Output Encoding), jetons Anti-CSRF et attributs SameSite.

Atelier pratique : Injection d'un script XSS malveillant volant un cookie puis implémentation du filtrage et de l'encodage correctif.

Cas métier : Sécurisation de la zone de commentaires d'un blog d'entreprise- Élimination complète des failles XSS.

Compétence acquise : Protéger l'application Web contre les attaques XSS et CSRF.

Livrable : Les fonctions d'encodage et le middleware de protection Anti-CSRF.

Objectif : Sécuriser la logique d'authentification et le contrôle d'accès aux ressources.

• Rupture du contrôle d'accès (OWASP) : failles IDOR (Insecure Direct Object References) et contournement de privilèges.
• Défauts d'authentification : gestion sécurisée de la réinitialisation de mots de passe, stockage des mots de passe (Argon2 /bcrypt).
• Gestion de la durée de vie des sessions, expiration automatique et invalidation des jetons lors de la déconnexion.

Atelier pratique : Exploitation d'une faille IDOR permettant de consulter la facture d'un autre client et implémentation du contrôle d'accès au niveau objet.

Cas métier : Sécurisation de l'espace client d'un site bancaire- Vérification systématique des autorisations utilisateur sur chaque identifiant de ressource.

Compétence acquise : Implémenter un contrôle d'accès robuste au niveau méthode et objet.

Livrable : Le module de contrôle d'accès d'autorisation serveur.

Objectif : Sécuriser les API Web et maîtriser l'utilisation des jetons JSON WebTokens (JWT).

• Vulnérabilités spécifiques des API Web (OWASP API Security Top 10) : BOLA, BFLA, consommation excessive de ressources.
• Architecture et fonctionnement des jetons JWT : En-tête, Payload, Signature et validation des clés.
• Attaques sur les jetons JWT : signature None, algorithmes faibles, expiration absente.
• Limitation du débit (RateLimiting) et découpage des accès API via passerelle (API Gateway).

Atelier pratique : Configuration de la validation rigoureuse des signatures JWT et implémentation du RateLimiting sur des routes d'API.

Cas métier : Protection d'une API mobile d'un service de réservation- Blocage des attaques par force brute via le RateLimiting.

Compétence acquise : Sécuriser les API REST et l'authentification par jetons JWT.

Livrable : Le middleware de validation et de limitation de débit d'API.

Objectif : Protéger l'application contre les attaques Server-SideRequestForgery et sécuriser le téléchargement de fichiers.

• Server-SideRequestForgery (SSRF - OWASP) : mécanismes d'attaque sur les services internes et métadonnées Cloud.
• Risques liés à l'envoi de fichiers (FileUpload) : exécution de scripts malveillants, déni de service et dépassement de taille.
• Gestion de la chaîne d'approvisionnement logicielle (Software Supply Chain) et gestion des dépendances open source (SCA).

Atelier pratique : Réalisation d'une attaque SSRF pour rebondir sur une API métadonnées Cloud et sécurisation de la fonction d'envoi de fichiers.

Cas métier : Sécurisation de la fonctionnalité de téléchargement d'images de profil- Validation du type MIME, renommage et stockage hors Webroot.

Compétence acquise : Sécuriser la fonctionnalité de téléversement de fichiers et contrer les attaques SSRF.

Livrable : La politique de téléversement sécurisé de fichiers.

Objectif : Intégrer le chiffrement des données sensibles au repos et en transit dans le code applicatif.

• Utilisation des bibliothèques cryptographiques modernes (Sodium, Web Crypto API, Bouncy Castle).
• Chiffrement des données sensibles au repos (Cartes bancaires, données de santé, secrets).
• Gestion sécurisée de la configuration et des clés de chiffrement : suppression des secrets codés en dur (Hardcoded Secrets).
• Masquage et anonymisation des données dans les journaux d'application (LogRedaction).

Atelier pratique : Chiffrement du champ numéro de sécurité sociale dans une base de données avec gestion des clés via variables d'environnement.

Cas métier : Mise en conformité RGPD d'une application RH- Chiffrement des données sensibles au repos et masquage dans les logs.

Compétence acquise : Chiffrer les données sensibles applicatives et gérer les secrets en toute sécurité.

Livrable : Le module de chiffrement applicatif et de gestion des secrets.

Objectif : Automatiser l'analyse statique du code source et l'audit des dépendances logicielles.

• Présentation de l'Analyse Statique de Sécurité des Applications (SAST) : principes et fonctionnement des règles.
• Analyse des composants Open Source (SCA -Software Composition Analysis) : détection des vulnérabilités CVE dans les packages (npm, pip, maven).
• Prise en main d'outils SAST/SCA : SonarQube, Semgrep, Snyk, OWASP Dependency-Check.

Atelier pratique : Lancement d'un scan SonarQube et Snyk sur un projet de code réel et analyse des failles remontées.

Cas métier : Audit de sécurité du code source avant la mise en production- Correction des 5 failles critiques remontées par le scan SAST.

Compétence acquise : Exécuter et interpréter des scans d'analyse statique de code SAST et SCA.

Livrable : Le rapport d'analyse SAST/SCA et les correctifs associés.

Objectif : Intégrer les tests de sécurité automatisés dans la chaîne d'intégration continue (GitLab CI / GitHub Actions).

• Principes de la démarche DevSecOps : déplacer la sécurité vers la gauche (Shift Left Security).
• Intégration des scans SAST, SCA et de détection de secrets (SecretDetection) dans le pipeline CI/CD.
• Introduction aux scans dynamiques (DAST -Dynamic Application Security Testing) avec OWASP ZAP en conteneur.

Atelier pratique : Écriture d'un fichier de pipeline (GitLab CI / GitHub Actions) intégrant les étapes de build, test, SAST et DAST.

Cas métier : Automatisation de la chaîne DevSecOps d'une équipe de 20 développeurs- Blocage automatique des PullRequests non sécurisées.

Compétence acquise : Automatiser l'intégration des contrôles de sécurité dans un pipeline CI/CD DevSecOps.

Livrable : Le script de pipeline CI/CD DevSecOps d'entreprise.

Objectif : Valider l'ensemble des compétences de codage sécurisé lors d'une épreuve finale complète.

• Mise à disposition d'une application Web complète truffée de vulnérabilités réelles (OWASP Top 10).
• Travail en équipes : identification des vulnérabilités, exploitation de démonstration et écriture des patchs de code correctifs.
• Soutenance des correctifs de code et revue de la charte de codage sécurisé.

Atelier pratique : Épreuve finale « Attack & Patch » : correction complète et sécurisation d'une application Web en 3 heures.

Cas métier : Livraison d'une version applicative certifiée conforme pour la production- Validation de la QualityGate finale.

Compétence acquise : Identifier, corriger et valider la sécurité globale d'une application Web d'entreprise.

Livrable : L'application Web corrigée, testée et certifiée sécurisée.