Les 7 piliers du test sécurité avant mise en production

1. Analyse statique du code (SAST)

Ce qui doit être testé :

• Injections SQL, XSS, CSRF
• Désérialisation non sécurisée
• Gestion incorrecte des erreurs exposant des infos sensibles
• Utilisation de fonctions dangereuses (eval, exec, system)
• Secrets hardcodés dans le code

Outils recommandés pour éditeurs :

• SonarQube (polyvalent, gratuit en version Community)
• Semgrep (rapide, customisable, idéal pour CI/CD)
• Checkmarx / Veracode (enterprise, coverage avancé)

Intégration CI/CD :

# Exemple GitLab CI
sast:
  stage: test
  script:
    - semgrep --config=auto --error
  only:
    - merge_requests
    - main

Seuil de blocage recommandé : Vulnérabilités HIGH et CRITICAL = build failed. Pas de négociation.

2. Analyse des dépendances (SCA)

Vos librairies npm, pip, Maven contiennent des CVE connus. 76% des applications en production utilisent au moins une dépendance vulnérable.

Checklist technique :

1. Scannez TOUTES les dépendances directes et transitives
2. Identifiez les packages obsolètes ou non maintenus
3. Vérifiez les licences incompatibles avec votre usage commercial
4. Créez un SBOM (Software Bill of Materials) pour chaque release

Outils essentiels :

• Dependabot / Renovate (automatisation des updates)
• Snyk / WhiteSource (détection CVE + remediation)
• OWASP Dependency-Check (gratuit, complet)

Erreur fréquente à éviter : Ignorer les warnings "MODERATE". Certaines sont chaînables en exploit critique.

3. Tests dynamiques applicatifs (DAST)

Le SAST lit le code. Le DAST attaque l'application running comme un hacker réel.

Ce qui est testé :

• Authentification et gestion de session
• Autorizations et contrôles d'accès (IDOR, privilege escalation)
• Injection dans les champs de formulaire
• Configuration des headers de sécurité
• Exposition d'endpoints sensibles

Outils DAST pour éditeurs :

• OWASP ZAP (gratuit, scriptable, intégrable CI/CD)
• Burp Suite Professional (mode scanner automatique)
• Nuclei (ultra-rapide, templates communautaires)

Best practice : Lancez le DAST sur un environnement de staging iso-prod avec données anonymisées réelles.

4. Revue de code orientée sécurité

L'humain détecte ce que les outils manquent : la logique métier vulnérable.

Focus sur :

• Flux de traitement des données sensibles
• Mécanismes d'autorisation custom
• Gestion des cas limites et erreurs
• Validation des inputs côté backend (jamais seulement frontend)

Framework de revue PIIRATES :

1. Threat modeling : "Qu'est-ce qu'un attaquant voudrait faire ici ?"
2. Data flow analysis : "Comment les données circulent, où sont-elles stockées ?"
3. Trust boundaries : "Qu'est-ce qui est validé ? Qu'est-ce qui est trusté par défaut ?"

Timing optimal : Avant le merge en main, sur chaque MR à risque (auth, payments, data access).

5. Tests d'API et contracts de sécurité

Vos APIs sont votre surface d'attaque primaire. 80% des attaques sur éditeurs SaaS ciblent les APIs.

Tests indispensables :

• Rate limiting effectif : testez avec 1000 req/sec, vérifiez le blocage
• Authentication robuste : JWT expiration, refresh token rotation
• Authorization granulaire : user A ne peut PAS accéder aux ressources de user B
• Input validation stricte : type, format, longueur, charset
• Error handling sécurisé : pas de stack traces en response

Outils spécialisés :

• Postman avec collections de tests de sécurité
• REST Assured pour tests automatisés
• OWASP API Security Top 10 comme baseline

Test critique : Créez 2 comptes clients, tentez d'accéder aux données du compte B depuis le compte A. Si ça passe, vous avez un IDOR.

6. Scan d'infrastructure et configuration

Votre code est secure. Mais votre infra ?

Points de contrôle infrastructure :

• Secrets management : Zero secrets en variables d'env ou config files
• Network segmentation : BDD inaccessibles depuis Internet
• Least privilege : Roles IAM minimaux, pas de wildcards
• Encryption : TLS 1.3, chiffrement at-rest activé
• Logging & monitoring : Events de sécurité tracés

Outils IaC security :

• Checkov (scan Terraform, CloudFormation, Kubernetes)
• tfsec (spécialisé Terraform, très rapide)
• Prowler (audit AWS/GCP/Azure)

Automatisation recommandée :

# Pre-commit hook
terraform plan -out=plan.tfplan
checkov -f plan.tfplan --framework terraform_plan

7. Validation du modèle de menace

Questions à se poser avant CHAQUE release :

1. Quelles nouvelles données sont traitées ?
2. Quels nouveaux endpoints sont exposés ?
3. Quelles modifications des permissions ou rôles ?
4. Quelles intégrations tierces ajoutées ?
5. Quelle est la pire exploitation possible de cette feature ?