Dans la fenêtre d’impression, choisissez « Enregistrer en PDF » comme destination.

Réf. SEC-SDW

Développement Web - Développer des applications sécurisées

Sécurité défensive

Durée

35 à 42 heures (5 à 6 jours) selon le format

Modalités

Présentiel, Classe à distance

Reconnaissance

Formation non certifiante (attestation de fin de formation)

Format de vente

Inter-entreprise ou Intra-entreprise

Délai d’accès

Inter : jusqu’à 5 jours ouvrés avant la session ; intra : en moyenne 15 jours ouvrés après l’acceptation du devis

Tarif intra

Sur devis

Pourquoi suivre cette formation

Les failles des applications exposent vos données sensibles. Cette formation apprend aux développeurs à intégrer la sécurité dès la conception (Security by Design), à corriger le Top 10 OWASP, à sécuriser les API et à automatiser les tests DevSecOps.

À l’issue de cette formation, les participants seront capables de

Intégrer les principes du Security by Design et de la défense en profondeur dans le cycle de développement
Identifier, exploiter en laboratoire et corriger les vulnérabilités du Top 10 OWASP (Injections, XSS, CSRF, SSRF)
Sécuriser l'authentification, la gestion des sessions et les API REST (OAuth 2.0, JWT, limitation du débit)
Mettre en œuvre le chiffrement des données au repos et en transit conformément aux exigences du RGPD
Automatiser l'analyse de sécurité du code (SAST/DAST) au sein d'un pipeline d'intégration continue (DevSecOps)

Formats proposés

ACTIONImmersion35 heures (5 jours)4 250 € HTpar participant (inter-entreprises)

IMPACTTerrain42 heures (6 jours) · dont une journée en décalé5 270 € HTpar participant (inter-entreprises)

Chaque format reprend le précédent et y ajoute des journées.

Public visé

Développeurs Web (Front-end, Back-end, Full-stack), Lead Developers, Architectes Logiciels, Chefs de Projet Technique et Ingénieurs DevSecOps.

Prérequis

Maîtriser au moins un langage de développement Web (Node.js, Python, Java, PHP, C#) et les fondamentaux du protocole HTTP.

Prérequis techniques à distance

La classe virtuelle se tient sur Microsoft Teams : AMBIA fournit à chaque participant un compte pour la durée de la formation. En intra-entreprise, elle peut aussi se tenir sur l’outil que l’entreprise utilise déjà, par exemple Zoom ou Google Meet.

Le participant se connecte depuis un ordinateur équipé d’une caméra, d’un micro, d’un accès à internet et d’un navigateur à jour, dans un lieu calme. Si la formation le demande, le formateur donne accès à un poste de travail à distance, depuis le navigateur.

Pendant la formation, l’assistance technique répond à support@ambia-skills.fr.

Objectifs pédagogiques

Restituer la liste et les mécanismes d'attaque du Top 10 OWASP. Expliquer les failles de sécurité de validation des entrées et les erreurs de logique d'authentification. Écrire du code sécurisé immunisé contre les injections, les XSS et les failles de contrôle d'accès. Interpréter les rapports d'analyse statique (SAST) et dynamique (DAST) pour localiser les vulnérabilités dans le code. Évaluer la sécurité d'une API REST et la conformité du chiffrement des données. Concevoir la politique de codage sécurisé et l'intégration des tests de sécurité dans le pipeline CI/CD.

Programme détaillé

Jour 1ACTION

Matin

Security by Design, modélisation des menaces et protocole HTTP

Intégrer la sécurité dès la phase de conception et maîtriser les mécanismes de défense du protocole HTTP.

Principes du Security by Design et de la défense en profondeur applicative.
Modélisation des menaces (Threat Modeling) avec la méthodologie STRIDE.
Sécurisation des en-têtes HTTP : Content Security Policy (CSP), Strict-Transport-Security (HSTS), X-Frame-Options, SameSite Cookies.

Atelier pratique

Réalisation du diagramme de modélisation des menaces STRIDE sur une application de paiement en ligne.

Cas métier

Cadrage de l'architecture d'un nouveau portail client- Définition des exigences de sécurité applicatives.

Compétence acquise

Modéliser les menaces applicatives et sécuriser les en-têtes HTTP d'une application Web.

Livrable

Le dossier de modélisation des menaces STRIDE et le jeu d'en-têtes HTTP de sécurité.

Après-midi

Validation des entrées et injections

Neutraliser les failles d'injection SQL, Command Injection et PathTraversal.

Mécanismes d'attaque par Injection SQL (In-band, Blind, Time-based).
Injections de commandes système et traversée de répertoires (PathTraversal).
Techniques de neutralisation : requêtes préparées (ORMs /ParameterizedQueries), validation par liste blanche (Allow-listing) et assainissement des entrées.

Atelier pratique

Exploitation d'une injection SQL dans un formulaire de connexion et réécriture du code vulnérable avec des requêtes préparées.

Cas métier

Sécurisation d'un moteur de recherche interne- Correction des failles d'injection SQL et de commandes.

Compétence acquise

Éliminer 100 % des risques d'injections SQL et de commandes dans le code.

Livrable

Le guide de codage sécurisé pour la validation des entrées et l'accès aux bases de données.

Jour 2ACTION

Matin

Cross-Site Scripting (XSS) et Cross-Site Request Forgery (CSRF)

Implémenter la neutralisation des attaques XSS (Reflected, Stored, DOM) et CSRF.

Typologies des attaques XSS : Reflétez, Stockée et DOM-based XSS.
Risques liés au XSS : vol de jetons de session, défacement et redirection malveillante.
Mécanismes d'attaque CSRF et vol d'actions utilisateur.
Techniques de défense : encodage contextuel des sorties (Contextual Output Encoding), jetons Anti-CSRF et attributs SameSite.

Atelier pratique

Injection d'un script XSS malveillant volant un cookie puis implémentation du filtrage et de l'encodage correctif.

Cas métier

Sécurisation de la zone de commentaires d'un blog d'entreprise- Élimination complète des failles XSS.

Compétence acquise

Protéger l'application Web contre les attaques XSS et CSRF.

Livrable

Les fonctions d'encodage et le middleware de protection Anti-CSRF.

Après-midi

Authentification, gestion des sessions et IDOR (contrôle d'accès)

Sécuriser la logique d'authentification et le contrôle d'accès aux ressources.

Rupture du contrôle d'accès (OWASP) : failles IDOR (Insecure Direct Object References) et contournement de privilèges.
Défauts d'authentification : gestion sécurisée de la réinitialisation de mots de passe, stockage des mots de passe (Argon2 /bcrypt).
Gestion de la durée de vie des sessions, expiration automatique et invalidation des jetons lors de la déconnexion.

Atelier pratique

Exploitation d'une faille IDOR permettant de consulter la facture d'un autre client et implémentation du contrôle d'accès au niveau objet.

Cas métier

Sécurisation de l'espace client d'un site bancaire- Vérification systématique des autorisations utilisateur sur chaque identifiant de ressource.

Compétence acquise

Implémenter un contrôle d'accès robuste au niveau méthode et objet.

Livrable

Le module de contrôle d'accès d'autorisation serveur.

Jour 3ACTION

Matin

Sécurité des API REST, JWT, OAuth 2.0 et OIDC

Sécuriser les API Web et maîtriser l'utilisation des jetons JSON WebTokens (JWT).

Vulnérabilités spécifiques des API Web (OWASP API Security Top 10) : BOLA, BFLA, consommation excessive de ressources.
Architecture et fonctionnement des jetons JWT : En-tête, Payload, Signature et validation des clés.
Attaques sur les jetons JWT : signature None, algorithmes faibles, expiration absente.
Limitation du débit (RateLimiting) et découpage des accès API via passerelle (API Gateway).

Atelier pratique

Configuration de la validation rigoureuse des signatures JWT et implémentation du RateLimiting sur des routes d'API.

Cas métier

Protection d'une API mobile d'un service de réservation- Blocage des attaques par force brute via le RateLimiting.

Compétence acquise

Sécuriser les API REST et l'authentification par jetons JWT.

Livrable

Le middleware de validation et de limitation de débit d'API.

Après-midi

SSRF, envoi de fichiers et composants vulnérables (SCA)

Protéger l'application contre les attaques Server-SideRequestForgery et sécuriser le téléchargement de fichiers.

Server-SideRequestForgery (SSRF - OWASP) : mécanismes d'attaque sur les services internes et métadonnées Cloud.
Risques liés à l'envoi de fichiers (FileUpload) : exécution de scripts malveillants, déni de service et dépassement de taille.
Gestion de la chaîne d'approvisionnement logicielle (Software Supply Chain) et gestion des dépendances open source (SCA).

Atelier pratique

Réalisation d'une attaque SSRF pour rebondir sur une API métadonnées Cloud et sécurisation de la fonction d'envoi de fichiers.

Cas métier

Sécurisation de la fonctionnalité de téléchargement d'images de profil- Validation du type MIME, renommage et stockage hors Webroot.

Compétence acquise

Sécuriser la fonctionnalité de téléversement de fichiers et contrer les attaques SSRF.

Livrable

La politique de téléversement sécurisé de fichiers.

Jour 4ACTION

Matin

Cryptographie appliquée au code et protection des données (RGPD)

Intégrer le chiffrement des données sensibles au repos et en transit dans le code applicatif.

Utilisation des bibliothèques cryptographiques modernes (Sodium, Web Crypto API, Bouncy Castle).
Chiffrement des données sensibles au repos (Cartes bancaires, données de santé, secrets).
Gestion sécurisée de la configuration et des clés de chiffrement : suppression des secrets codés en dur (Hardcoded Secrets).
Masquage et anonymisation des données dans les journaux d'application (LogRedaction).

Atelier pratique

Chiffrement du champ numéro de sécurité sociale dans une base de données avec gestion des clés via variables d'environnement.

Cas métier

Mise en conformité RGPD d'une application RH- Chiffrement des données sensibles au repos et masquage dans les logs.

Compétence acquise

Chiffrer les données sensibles applicatives et gérer les secrets en toute sécurité.

Livrable

Le module de chiffrement applicatif et de gestion des secrets.

Après-midi

Découverte des outils d'analyse SAST et SCA

Automatiser l'analyse statique du code source et l'audit des dépendances logicielles.

Présentation de l'Analyse Statique de Sécurité des Applications (SAST) : principes et fonctionnement des règles.
Analyse des composants Open Source (SCA -Software Composition Analysis) : détection des vulnérabilités CVE dans les packages (npm, pip, maven).
Prise en main d'outils SAST/SCA : SonarQube, Semgrep, Snyk, OWASP Dependency-Check.

Atelier pratique

Lancement d'un scan SonarQube et Snyk sur un projet de code réel et analyse des failles remontées.

Cas métier

Audit de sécurité du code source avant la mise en production- Correction des 5 failles critiques remontées par le scan SAST.

Compétence acquise

Exécuter et interpréter des scans d'analyse statique de code SAST et SCA.

Livrable

Le rapport d'analyse SAST/SCA et les correctifs associés.

Jour 5ACTION

Matin

Intégration DevSecOps et automatisation CI/CD

Intégrer les tests de sécurité automatisés dans la chaîne d'intégration continue (GitLab CI / GitHub Actions).

Principes de la démarche DevSecOps : déplacer la sécurité vers la gauche (Shift Left Security).
Intégration des scans SAST, SCA et de détection de secrets (SecretDetection) dans le pipeline CI/CD.
Introduction aux scans dynamiques (DAST -Dynamic Application Security Testing) avec OWASP ZAP en conteneur.

Atelier pratique

Écriture d'un fichier de pipeline (GitLab CI / GitHub Actions) intégrant les étapes de build, test, SAST et DAST.

Cas métier

Automatisation de la chaîne DevSecOps d'une équipe de 20 développeurs- Blocage automatique des PullRequests non sécurisées.

Compétence acquise

Automatiser l'intégration des contrôles de sécurité dans un pipeline CI/CD DevSecOps.

Livrable

Le script de pipeline CI/CD DevSecOps d'entreprise.

Après-midi

Exercice pratique « attaque et correction » et bilan

Valider l'ensemble des compétences de codage sécurisé lors d'une épreuve finale complète.

Mise à disposition d'une application Web complète truffée de vulnérabilités réelles (OWASP Top 10).
Travail en équipes : identification des vulnérabilités, exploitation de démonstration et écriture des patchs de code correctifs.
Soutenance des correctifs de code et revue de la charte de codage sécurisé.

Atelier pratique

Épreuve finale « Attack & Patch » : correction complète et sécurisation d'une application Web en 3 heures.

Cas métier

Livraison d'une version applicative certifiée conforme pour la production- Validation de la QualityGate finale.

Compétence acquise

Identifier, corriger et valider la sécurité globale d'une application Web d'entreprise.

Livrable

L'application Web corrigée, testée et certifiée sécurisée.

Jour 6 · en décaléIMPACT

Matin

Diagnostic de votre code source et de vos dépendances

Repérer les failles d'injection cachées, les secrets écrits en clair dans le code et les dépendances obsolètes critiques.

Examen confidentiel des dépôts Git de l'entreprise et analyses SAST et SCA menées avec l'expert AMBIA.

Après-midi

Construire la chaîne DevSecOps et la charte de codage

Généraliser le codage sécurisé à l'ensemble des développeurs de l'organisation.

Configuration de la chaîne CI/CD sécurisée dans les outils de l'entreprise et écriture de règles SonarQube sur mesure.

Les ateliers et cas métier de ce programme pourront être adaptés par le consultant-formateur selon les besoins, le niveau et les prérequis des participants, pour favoriser l’atteinte des objectifs pédagogiques.

Méthodes et moyens pédagogiques

Méthodes mobilisées

Pédagogie active et immersive basée sur des simulations métiers complexes. Alternance d'ateliers de type « Capture The Flag » (CTF) où l'apprenant doit d'abord attaquer sa propre application pour comprendre la faille avant de la patcher en appliquant les concepts de défense.

Moyens techniques

Un poste informatique individuel par participant, accès à un environnement de développement intégré (IDE) cloud ou local préconfiguré, serveurs de test hébergeant des applications volontairement vulnérables, outils d'analyse statique de code.

Moyens humains

Formation animée par un ingénieur cybersécurité senior, expert en audit de code et en architectures applicatives sécurisées.

Modalités d’évaluation

Évaluation diagnostique

Questionnaire d'auto-évaluation et de positionnement technique soumis aux apprenants 15 jours avant le début de la session pour identifier les langages pratiqués et les notions préalables de sécurité.

Évaluation formative

Réalisation de défis pratiques de type « Capture The Flag » (CTF) applicatifs, ateliers d'audit de code source corrompu et revues de patchs à la fin de chaque module thématique.

Évaluation sommative

Évaluation finale par le biais d'une mise en situation réelle d'audit et de correction de code (projet fil rouge évalué), complétée par un Questionnaire de validation des acquis sous forme de QCM en fin de formation.

Suivi

Feuilles de présence signées par demi-journée, en présentiel comme à distance.
Attestation de fin de formation remise à chaque stagiaire, mentionnant les objectifs, la nature, la durée et les résultats de l’évaluation.
Certificat de réalisation adressé au client ou au financeur.
Questionnaire de satisfaction remis à l’issue de la formation.

Délai d’accès

Inter-entreprises : L’inscription est possible jusqu’à 5 jours ouvrés avant le début de la session, sous réserve des places disponibles.

Intra-entreprise : La formation débute en moyenne 15 jours ouvrés après l’acceptation du devis.

Ce délai peut être adapté selon la disponibilité des sessions, le positionnement du stagiaire et, le cas échéant, l’instruction du dossier de prise en charge par le financeur.

Accessibilité handicap

Parcours accessible aux personnes en situation de handicap.

Référent handicap : accessibilite@ambia-skills.fr. Aucune reconnaissance de la qualité de travailleur handicapé ni aucun justificatif médical n’est exigé.

Indicateurs de résultats

Indicateurs publiés à partir de 3 avis.

Mode de calcul : www.ambia-skills.fr/notre-approche#notes