SauronSec
La sécurité web, expliquée simplement.
Les vulnérabilités les plus courantes, décrites sans jargon — ce qu'elles sont, pourquoi elles comptent, et comment vous en protéger.
SSRF : faire parler votre serveur à votre place
Si votre serveur va chercher une URL fournie par le visiteur, un attaquant peut la remplacer par une adresse interne — et faire de votre serveur son complice.
Lire l'articleCORS mal configuré : la porte que vous ouvrez à tous les sites
CORS est censé dire à un navigateur quels sites ont le droit de lire vos données. Mal configuré, il répond « oui » à absolument tout le monde.
Lire l'articleJWT : le jeton qui peut se falsifier lui-même
Un JWT contient sa propre signature — encore faut-il que le serveur la vérifie vraiment. Certaines implémentations laissent un attaquant la contourner entièrement.
Lire l'articleInjection de commande : quand un champ texte parle au serveur
Certains sites transmettent un bout de texte du visiteur directement au système d’exploitation. Un attaquant peut alors exécuter ses propres commandes, pas les vôtres.
Lire l'articleLes en-têtes de sécurité que votre site oublie (presque) toujours
Le navigateur sait très bien se défendre — encore faut-il le lui demander. Quelques en-têtes HTTP, gratuits à activer, qui bloquent des familles entières d’attaques.
Lire l'articleCSRF : agir à votre insu pendant que vous êtes connecté
Vous êtes connecté à un site dans un onglet. Vous en visitez un autre. S’il n’est pas protégé, votre navigateur peut agir en votre nom sans que vous cliquiez sur rien.
Lire l'articleIDOR : quand changer un chiffre dans l’URL suffit
Facture, commande, profil… si l’accès dépend juste d’un numéro dans l’URL, changer ce numéro peut suffire à lire les données de quelqu’un d’autre.
Lire l'articleLe Cross-Site Scripting (XSS) expliqué simplement
La faille qui transforme un champ de texte en arme : un visiteur y dépose du code, et ce code s’exécute chez tous les autres visiteurs. Explication et parade.
Lire l'articleL’injection SQL expliquée simplement
La faille qui laisse un visiteur réécrire les questions que votre site pose à sa base de données. Comment elle marche, et comment la fermer pour de bon.
Lire l'articleLe faux positif : le fléau silencieux des scanners
Un scanner qui « trouve » 400 failles dont 380 fausses ne vous aide pas : il vous épuise. Le vrai enjeu n’est pas de détecter plus, mais de se tromper moins.
Lire l'articleTraversée de chemin : lire des fichiers interdits
Quand le nom d’un fichier vient du visiteur, quelques ../ suffisent parfois à remonter dans vos dossiers et lire vos secrets. Explication et parade.
Lire l'articleAssez de théorie ?
Voyez ce que ces failles donnent sur un vrai rapport.