Web security, authentication, and secure coding practices
66 posts
Dans le paysage moderne du développement d'applications, la sécurité n'est pas qu'une fonctionnalité ; c'est le fondement. Pour les développeurs créant des systèmes distribués complexes, la gestion manuelle de l'identité et du contrôle d'accès est souvent source de problèmes. C'est là qu'interviennent OAuth 2.0 et OpenID Connect (OIDC)...
OAuth 2.0 a révolutionné l'autorisation d'accès aux ressources web, mais a introduit une faille de sécurité majeure : le vol de jetons. Découvrez comment implémenter OAuth2 Token Binding et DPoP pour sécuriser vos jetons contre le vol et les attaques par rejeu.
Pendant des années, le flux de code d'autorisation était la référence en matière de sécurisation des applications web. Cependant, les applications monopages (SPA) et les clients mobiles natifs ont introduit un défi unique : ce sont des « clients publics ». Contrairement aux applications côté serveur traditionnelles, ces clients ne peuvent pas stocker de manière sécurisée...
Dans le domaine de la sécurité des applications, peu de responsabilités sont aussi critiques que la gestion des identifiants utilisateurs. Pendant des décennies, l'industrie s'est fiée à des fonctions de hachage rapides et unidirectionnelles comme MD5 et SHA-1. Cependant, à mesure que les capacités matérielles ont évolué, notamment avec l'avènement des GPU et des ASICs spécialisés...
Lors de la conception de votre flux OAuth2, utilisez toujours le flux Authorization Code Grant avec PKCE pour les clients publics afin d'éviter les attaques d'interception de codes d'autorisation. Évitez complètement le flux Implicit Grant, car il expose les jetons d'accès dans le fragment d'URL.
Dans le paysage évolutif du développement d'applications cloud-native, le modèle de sécurité traditionnel du « château et douves » est devenu obsolète. Avec la prolifération des microservices, des conteneurs et des charges de travail éphémères, le périmètre du réseau interne a effectivement disparu. Ce changement nécessite une...
Le modèle de sécurité traditionnel reposait fortement sur un réseau périmétrique solide. À l'intérieur des murs du château, tout était de confiance ; à l'extérieur, tout était malveillant. À l'ère des microservices, de la conteneurisation et des déploiements multi-cloud, cette approche « château et douves » est devenue obsolète. Avec des services communiquant sur des réseaux dynamiques, souvent entre différents fournisseurs cloud, le périmètre a disparu. Avec...