1. Comprendre les bases, sans jargon
Une page web reçoit parfois des données saisies par les utilisateurs. Le serveur doit contrôler les formats, vérifier les droits et traiter les données comme non fiables. Une vérification JavaScript seule ne suffit pas.
Avant de retenir les mots techniques, essaie de reformuler cette idée avec tes propres mots. Tu n'as pas besoin de tout mémoriser du premier coup : comprendre vient avant apprendre par cœur.
2. Le cours expliqué en détail
Les risques applicatifs
Un site doit protéger les données et vérifier chaque action sensible. OWASP recense notamment les défauts de contrôle d’accès, les mauvaises configurations et les problèmes de chaîne d’approvisionnement logicielle.
Contrôle d’accès
Le serveur doit vérifier si l’utilisateur est autorisé à lire ou modifier une ressource. Cacher un bouton dans l’interface ne suffit pas : la vérification doit aussi exister côté serveur.
Entrées et données
Toute donnée reçue doit être traitée selon son contexte. Utilise des requêtes paramétrées pour accéder à une base de données et échappe correctement le contenu affiché dans une page.
Mise en situation
Sur ton propre site de démonstration, un visiteur ne doit pas accéder au panneau administrateur même s’il connaît son adresse.
Établis une checklist de sécurité pour un site fictif : HTTPS, rôles, mises à jour, sauvegardes et gestion des secrets.
🧩 Comprendre simplement : Pourquoi un site doit vérifier les entrées
Un formulaire reçoit des données d’utilisateurs. Le serveur ne doit jamais supposer que ces données sont sûres ou que le navigateur a déjà tout vérifié.
🔎 Exemple pas à pas
Pour afficher un commentaire, on encode correctement son contenu afin qu’il reste du texte et ne soit pas interprété comme du code. Pour une base de données, on utilise des requêtes paramétrées.
💡 Ce qu’il faut retenir
La sécurité côté navigateur améliore l’expérience, mais les contrôles indispensables doivent aussi exister côté serveur.
3. Exemple concret expliqué étape par étape
Comprendre la sécurité d’un formulaire
Imagine une application scolaire : un élève ne doit pas pouvoir consulter le dossier d’un autre simplement en changeant un numéro dans l’adresse. Le serveur vérifie qui demande quoi.
4. Exercice pratique sans danger
Pour un site fictif, liste les règles nécessaires à un formulaire de contact : champs attendus, limites de taille, affichage du texte et protection des données.
Comment travailler : commence par écrire ta réponse sur une feuille, puis compare avec les explications du cours. Tu peux recommencer autant de fois que nécessaire. Travaille uniquement sur des exemples fictifs ou tes propres systèmes.
⚠️ L’erreur la plus fréquente
Croire qu’une vérification faite dans le navigateur suffit.
🌍 Dans la vraie vie
Un élève ne doit pas voir le dossier d’un autre en changeant un numéro dans l’adresse. C’est le serveur qui contrôle qui demande quoi.