Les 10 vulnérabilités de sécurité les plus courantes que les développeurs ignorent

La sécurité logicielle ne concerne plus uniquement les grandes entreprises. Aujourd'hui, la moindre application web, API ou service cloud peut devenir une cible. Une seule vulnérabilité peut permettre à un attaquant de voler des données, compromettre des comptes utilisateurs ou interrompre un service critique.

Le problème est que beaucoup de ces failles sont connues depuis des années. Elles continuent pourtant d'apparaître dans des projets modernes développés avec JavaScript, TypeScript, Python, Java, Go, PHP, .NET ou Rust.

Dans cet article, nous passons en revue dix vulnérabilités parmi les plus fréquentes et les bonnes pratiques pour les éviter.

---

1. Injection SQL

L'injection SQL permet à un attaquant de modifier une requête SQL en injectant des données malveillantes.

Exemple vulnérable

string query = "SELECT * FROM Users WHERE Id = " + userId;

Exemple sécurisé

var command = new SqlCommand(
    "SELECT * FROM Users WHERE Id = @id",
    connection
);

command.Parameters.AddWithValue("@id", userId);

Comment s'en protéger ?

• Toujours utiliser des requêtes paramétrées.
• Utiliser un ORM lorsque cela est possible.
• Valider les entrées utilisateur.
• Ne jamais construire une requête SQL avec une concaténation.

---

2. Secrets exposés dans le code

Les dépôts Git contiennent souvent des informations sensibles publiées par erreur :

• clés API
• mots de passe
• tokens GitHub
• chaînes de connexion
• certificats privés

Exemple

const apiKey = "SECRET_PRODUCTION_KEY";

Une fois poussée sur GitHub, cette clé peut être indexée ou récupérée rapidement.

Bonnes pratiques

• Variables d'environnement
• Gestionnaires de secrets
• Rotation régulière des clés
• Analyse automatique des dépôts

---

3. Cross-Site Scripting (XSS)

Le XSS consiste à injecter du JavaScript malveillant dans une page web.

Exemple vulnérable

<div>{{ commentaire }}</div>

Si le contenu n'est pas échappé correctement, un utilisateur peut injecter :

<script>alert('XSS')</script>

Prévention

• Échapper les données affichées.
• Utiliser une Content Security Policy.
• Nettoyer les entrées utilisateur.
• Utiliser les protections natives des frameworks modernes.

---

4. Broken Authentication

Une authentification mal conçue permet à un attaquant d'usurper l'identité d'un utilisateur.

Quelques exemples :

• mots de passe faibles ;
• absence de MFA ;
• jetons JWT mal configurés ;
• sessions qui n'expirent jamais.

Prévention

• Authentification multifacteur.
• Hashage avec Argon2 ou bcrypt.
• Expiration des sessions.
• Rotation des tokens.

---

5. Broken Access Control

Une application peut empêcher un utilisateur d'accéder à une page dans l'interface tout en oubliant de protéger l'API.

Exemple :

GET /api/admin/users

Si aucune vérification des droits n'est effectuée côté serveur, n'importe quel utilisateur peut appeler cette route.

Prévention

• Vérifier les permissions côté serveur.
• Appliquer le principe du moindre privilège.
• Tester les accès avec différents rôles.

---

6. Path Traversal

Cette vulnérabilité permet d'accéder à des fichiers situés en dehors du répertoire prévu.

Exemple :

GET /download?file=../../etc/passwd

Sans validation, un attaquant peut lire des fichiers système.

Prévention

• Utiliser des listes blanches.
• Interdire les chemins relatifs.
• Normaliser les chemins avant utilisation.

---

7. Command Injection

Certaines applications exécutent des commandes système avec des données utilisateur.

Exemple dangereux

exec("ping " + host);

Un attaquant peut injecter :

127.0.0.1 && rm -rf /

Prévention

• Éviter les appels au shell.
• Utiliser des bibliothèques natives.
• Valider les paramètres.

---

8. Server-Side Request Forgery (SSRF)

Le SSRF permet à un attaquant de forcer votre serveur à effectuer des requêtes HTTP vers des ressources internes.

Cela peut exposer :

• services internes ;
• métadonnées cloud ;
• bases de données ;
• panneaux d'administration.

Prévention

• Liste blanche des domaines autorisés.
• Interdire les adresses IP privées.
• Désactiver les redirections automatiques.

---

9. Téléversement de fichiers non sécurisé

Autoriser l'envoi de fichiers sans contrôle peut conduire à l'exécution de code malveillant.

Mauvaises pratiques

• vérifier uniquement l'extension ;
• stocker les fichiers dans le répertoire public ;
• autoriser tous les types MIME.

Prévention

• Vérifier le type MIME réel.
• Renommer les fichiers.
• Stocker les fichiers hors du serveur web.
• Scanner les fichiers envoyés.

---

10. Journalisation et surveillance insuffisantes

Une application peut être attaquée pendant plusieurs semaines sans que personne ne s'en aperçoive.

Sans journaux fiables, il devient difficile :

• d'identifier une attaque ;
• de comprendre son origine ;
• de mesurer son impact.

Prévention

• Journaliser les événements critiques.
• Surveiller les erreurs inhabituelles.
• Centraliser les logs.
• Mettre en place des alertes.

---

Pourquoi détecter ces vulnérabilités dès le développement ?

Plus une faille est détectée tôt, moins elle coûte à corriger.

Intégrer des contrôles de sécurité directement dans le cycle de développement permet :

• de réduire les risques avant la mise en production ;
• d'améliorer la qualité globale du code ;
• de gagner du temps lors des revues de sécurité ;
• d'éviter les régressions lors des évolutions du projet.

L'analyse statique du code est aujourd'hui une pratique courante pour identifier automatiquement les problèmes les plus fréquents avant même qu'ils n'atteignent les environnements de test ou de production.

---

Analysez votre projet avant sa mise en production

Herozion analyse votre projet localement afin de détecter les vulnérabilités et les mauvaises pratiques avant qu'elles ne deviennent des incidents en production.

Lancer une analyse :

herozion scan .

Pour conserver l'historique des analyses et suivre l'évolution de votre sécurité au fil du temps :

herozion push

Votre code reste sur votre machine pendant l'analyse. Aucun fichier source n'est envoyé vers le cloud.

---

Conclusion

La majorité des incidents de sécurité proviennent de vulnérabilités bien connues qui auraient pu être évitées grâce à de bonnes pratiques de développement et à des contrôles automatisés.

En intégrant la sécurité dès les premières phases du développement, vous réduisez considérablement les risques tout en améliorant la qualité de votre logiciel.

La sécurité n'est pas une étape finale : elle fait partie intégrante du processus de développement moderne.