Base de connaissance

CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy : ce que fait chacun et comment les ajouter.

Pourquoi HTTPS n'est pas négociable, comment forcer la redirection, et comment activer HSTS une fois en place.

Les trois attributs de cookie qui déterminent ce qui peut le voler ou le rejouer, et comment les configurer.

Access-Control-Allow-Origin: * sur une réponse qui contient des données : ce que ça expose et comment restreindre.

sk_live_ ou sk_test_ dans le JavaScript du navigateur — la faille la plus grave et la plus fréquente.

Tables lisibles sans authentification ou clé service_role exposée : comment vérifier et corriger.

Deux fichiers qui ne devraient jamais répondre en HTTP, et comment bloquer leur accès selon ton hébergeur.

Clés AWS, tokens, mots de passe écrits directement dans le JavaScript plutôt que dans des variables serveur.

Le fichier .map qui reconstitue tout ton code source non minifié, commentaires compris.

Des indices de faible gravité individuellement, mais qui aident un attaquant à cibler sa prochaine tentative.

Protocole TLS dépassé, certificat expiré, auto-signé ou ne correspondant pas au domaine : ce que chaque cas signifie et comment le corriger.

PUT/DELETE/TRACE annoncés par le serveur, et répertoires qui affichent la liste de leurs fichiers au lieu d'une erreur.

CVE, score CVSS, version corrigée, exploitation active (CISA KEV) et probabilité EPSS pour chaque package vulnérable de ton package-lock.json, yarn.lock, pnpm-lock.yaml, requirements.txt ou composer.lock.

TRACE réellement envoyé, CORS credentialed testé avec une origine inventée, clé Stripe appelée pour de vrai, écriture Supabase tentée puis nettoyée — la différence entre "probablement vulnérable" et "vulnérabilité prouvée".