Ce contenu est une ébauche et ne sera pas inclus dans la version de production.

Développement, applications & chaîne logicielle

Le code d’une application n’est jamais neutre : c’est une surface d’attaque qui s’étend à chaque fonctionnalité ajoutée, et une dépendance de plus, c’est un vecteur de plus, importé sans qu’on l’ait vraiment audité. La rubrique part de là : OWASP n’est pas une liste à cocher pour rassurer un audit, c’est la cartographie des façons les plus courantes de se faire avoir, côté web comme côté API.

Une API mal pensée ouvre les mêmes portes qu’une application web classique, avec une différence de taille : personne ne relit un endpoint interne « juste utilisé par le frontend », jusqu’au jour où quelqu’un d’autre le trouve. Injection, désérialisation, contrôle d’accès qui suppose que seul un client légitime enverra une requête légitime (BOLA en tête) : le sujet est moins la faille elle-même que l’angle mort qui la rend invisible en revue.

En amont, il y a la chaîne logicielle : un SBOM qui liste ce qui tourne vraiment, des dépendances transitives dont personne ne connaît le mainteneur, un build qui n’est reproductible que sur le papier. Et en continu, l’usine qui produit tout ça : un pipeline CI/CD, des secrets qui y traînent plus longtemps qu’ils ne devraient, un compte de service qui garde les mêmes droits depuis trois ans parce que personne n’ose y toucher.

Le poste développeur fait aussi partie du terrain : cible privilégiée depuis qu’il vaut mieux compromettre la source que le produit fini, et la préprod, sanctuaire d’oubli où traînent des données de test qui n’ont jamais été vraiment anonymisées.