La sécurité des applications web est un enjeu majeur pour les développeurs. De nombreuses failles de sécurité sont exploitées par des attaquants pour voler des données, compromettre des serveurs ou manipuler des utilisateurs. Cet article passe en revue les erreurs de sécurité les plus courantes en développement web et propose des solutions pour s’en protéger.
1. Injection SQL : La Plus Répandue des Vulnérabilités
📌 Problème
Une injection SQL permet à un attaquant d’exécuter des requêtes malveillantes sur une base de données.
❌ Exemple vulnérable :
pythonCopierModifierquery = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'"
cursor.execute(query)
Si un utilisateur entre ' OR '1'='1 comme identifiant, la requête devient :
sqlCopierModifierSELECT * FROM users WHERE username = '' OR '1'='1' AND password = ''
Cela retourne tous les utilisateurs !
✅ Solution : Utilisation de requêtes préparées
pythonCopierModifierquery = "SELECT * FROM users WHERE username = %s AND password = %s"
cursor.execute(query, (username, password))
✔ Cela empêche l’interprétation des entrées comme des commandes SQL.
2. Cross-Site Scripting (XSS) : Exécution de Code Malveillant
📌 Problème
Le XSS permet d’injecter du code JavaScript dans une page web et d’exécuter des scripts malveillants sur le navigateur des victimes.
❌ Exemple vulnérable :
htmlCopierModifier<p>Bonjour, <?php echo $_GET['name']; ?> !</p>
Si un utilisateur entre <script>alert("Hacked!")</script>, la page exécutera cette alerte JavaScript.
✅ Solution : Échapper les Entrées Utilisateur
Utilisez des fonctions d’échappement comme htmlspecialchars() en PHP :
phpCopierModifier<p>Bonjour, <?php echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8'); ?> !</p>
✔ Le navigateur affichera le texte sans l’exécuter.
Utilisez aussi Content Security Policy (CSP) pour bloquer l’exécution de scripts non autorisés :
htmlCopierModifier<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">
3. Mauvaise Gestion des Mots de Passe
📌 Problème
- Stocker des mots de passe en clair est une erreur critique.
- Une attaque par brute-force peut facilement deviner des mots de passe faibles.
❌ Exemple vulnérable :
pythonCopierModifierwith open("passwords.txt", "a") as file:
file.write(f"{username}:{password}\n")
✅ Solution : Hachage et Salage des Mots de Passe
✔ Utilisez des algorithmes de hachage sécurisé comme bcrypt :
pythonCopierModifierimport bcrypt
password = "MonMotDePasse123"
hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt())
print("Mot de passe haché :", hashed)
✔ Ne jamais utiliser MD5 ou SHA-1, car ils sont vulnérables.
4. Cross-Site Request Forgery (CSRF) : Manipulation d’Actions Authentifiées
📌 Problème
Un attaquant peut forcer un utilisateur à exécuter une action qu’il n’a pas demandée, comme changer son mot de passe ou envoyer un virement.
❌ Exemple vulnérable :
Si un utilisateur authentifié visite un site malveillant contenant :
htmlCopierModifier<img src="https://example.com/delete-account">
Le navigateur enverra automatiquement la requête et supprimera son compte !
✅ Solution : Jetons CSRF
Ajoutez un jeton anti-CSRF dans vos formulaires :
htmlCopierModifier<input type="hidden" name="csrf_token" value="token_unique">
Et vérifiez-le côté serveur avant d’exécuter une action critique.
5. Mauvaise Gestion des Permissions et Authentification Faible
📌 Problème
- Permettre aux utilisateurs d’accéder à des données sensibles sans contrôle d’accès.
- Ne pas limiter le nombre de tentatives de connexion.
✅ Solutions :
✔ Implémentez des rôles et permissions stricts (ex : utilisateur/admin).
✔ Bloquez les comptes après plusieurs tentatives de connexion échouées.
✔ Utilisez OAuth 2.0 ou JWT (JSON Web Tokens) au lieu de sessions traditionnelles.
6. Exposition de Données Sensibles dans les Logs ou URL
📌 Problème
Des informations sensibles peuvent être exposées dans :
❌ Les URL
plaintextCopierModifierhttps://example.com/reset-password?token=123456
Si l’URL est enregistrée dans l’historique, un pirate peut l’exploiter.
❌ Les logs de serveurs
plaintextCopierModifier[INFO] Login successful for user: admin, password: SuperSecret123
✅ Solution : Ne jamais afficher de données sensibles
✔ Utilisez POST au lieu de GET pour les actions sensibles.
✔ Masquez les mots de passe et jetons dans les logs.
7. Déploiement de Code Non Sécurisé
📌 Problème
- Oublier d’enlever les fichiers sensibles (ex :
.env,config.phpcontenant des clés API). - Laisser des erreurs de débogage activées en production.
❌ Exemple vulnérable :
plaintextCopierModifierFatal error: Uncaught Exception: SQL Error in /var/www/html/config.php on line 12
Un attaquant peut exploiter ces informations pour trouver des failles.
✅ Solution :
✔ Désactivez l’affichage des erreurs en production (display_errors = Off en PHP).
✔ Supprimez les fichiers sensibles avant de déployer votre code.
✔ Mettez en place des scanners de sécurité comme Snyk ou OWASP Dependency-Check.
8. Manque de Mise à Jour des Bibliothèques et Frameworks
📌 Problème
Les frameworks obsolètes ont des failles connues qui peuvent être exploitées.
✅ Solution :
✔ Utilisez Dependabot (GitHub) ou Snyk pour surveiller vos dépendances.
✔ Faites des mises à jour régulières des bibliothèques et frameworks.
Conclusion
Un bon développeur web doit toujours penser sécurité dès la conception d’une application.
🔹 Principales erreurs et solutions :
✅ Injection SQL → Utilisez des requêtes préparées.
✅ XSS → Échappez les entrées utilisateur.
✅ Mots de passe mal gérés → Stockez-les avec bcrypt.
✅ CSRF → Protégez avec un jeton CSRF.
✅ Permissions faibles → Implémentez des rôles et un contrôle strict.
✅ Données exposées → Ne stockez rien de sensible en clair.
✅ Mise à jour des dépendances → Mettez régulièrement à jour vos packages.
🚀 Sécuriser votre application, c’est protéger vos utilisateurs et votre réputation.
