La sécurité des applications web, expliquée

Content-Security-Policy (CSP) : ce que c’est et comment en ajouter une

L’en-tête qui empêche les scripts injectés de s’exécuter.

HTTP Strict Transport Security (HSTS) expliqué

Forcez chaque connexion à passer en HTTPS — même la première.

Clickjacking et X-Frame-Options : gardez vos pages hors des iframes

Un en-tête empêche les attaquants de superposer votre app dans une iframe.

MIME sniffing et X-Content-Type-Options : nosniff expliqué

Un en-tête empêche les navigateurs de deviner les types de contenu et d'exécuter des fichiers uploadés comme des scripts.

Erreurs de configuration

Fichiers .env exposés : comment les attaquants trouvent vos secrets

Un seul .env accessible peut livrer toute votre stack.

CORS mal configuré : les pièges du joker et du reflet

Autorisez toutes les origines et n’importe quel site peut lire votre API.

Les source maps en production divulguent votre code source

Les fichiers .map livrés donnent accès à votre code source original.

Répertoire .git exposé : la fuite de code source cachée à la vue de tous

Un /.git accessible livre l'intégralité de votre base de code et de l'historique des commits.

Sauvegardes de base de données exposées : que se passe-t-il quand /backup.sql est accessible

Un dump .sql accessible, c'est la remise complète de toute votre base de données.

Secrets exposés

API keys exposées dans le JavaScript côté client

Tout ce qui est dans votre bundle est public. Traitez-le comme tel.

Sécurité DNS et e-mail

Subdomain takeover : comment ça arrive et comment l’éviter

Un CNAME orphelin est une porte ouverte sur votre domaine.

SPF et DMARC : stoppez l’usurpation d’e-mail de votre domaine

Empêchez les attaquants d’écrire au monde entier en se faisant passer pour vous.

Sécurité des cookies

Les attributs de cookies Secure, HttpOnly et SameSite

Trois attributs qui empêchent le vol des cookies de session.

Chaîne de redirections

Pourquoi votre site a besoin d’une redirection HTTP→HTTPS

Ne laissez pas la porte non sécurisée ouverte.

Sécurité des bases de données

Supabase Row Level Security (RLS) : verrouillez vos tables

Votre anon key est publique. Le RLS est la seule chose qui la sépare de vos données.

Firebase Security Rules : ne laissez plus votre base de données ouverte

Votre config Firebase est publique par conception. Ce sont vos règles qui décident qui voit les données.

Gestion des fichiers, chemins et ressources

Index de répertoires ouverts : quand votre serveur de fichiers liste tout

Un serveur de fichiers qui liste son contenu offre aux attaquants un inventaire gratuit.

Gestion des erreurs et résilience

Pages d'erreur verbeuses et stack traces en production

Une stack trace indique aux attaquants exactement où viser.

Sécurité des API

Introspection GraphQL publique : pourquoi c'est un problème et comment la désactiver

Une seule requête renvoie tout votre schéma. Désactivez-la en production.

Protocole HTTP et requêtes côté serveur