{"id":10304,"date":"2021-10-13T14:06:33","date_gmt":"2021-10-13T12:06:33","guid":{"rendered":"https:\/\/jimber.io\/blog\/le-top-10-2021-de-lowasp\/"},"modified":"2025-09-12T15:53:31","modified_gmt":"2025-09-12T13:53:31","slug":"le-top-10-2021-de-lowasp","status":"publish","type":"post","link":"https:\/\/jimber.io\/fr\/blog\/le-top-10-2021-de-lowasp\/","title":{"rendered":"Le top 10 2021 de l’OWASP"},"content":{"rendered":"
Qu’est-ce que l’OWASP ?<\/h2>\n
L’OWASP (Open Web Application Security Project) est une organisation \u00e0 but non lucratif dont l’objectif est d’am\u00e9liorer la s\u00e9curit\u00e9 des sites web. Elle fournit des programmes de d\u00e9veloppement de logiciels libres, des projets, des bo\u00eetes \u00e0 outils, des chapitres locaux, des conf\u00e9rences, des articles, des vid\u00e9os, des forums, des m\u00e9thodologies, de la documentation et des technologies \u00e0 sa communaut\u00e9. L’un de leurs projets les plus importants est le top 10 de l’OWASP. Avant l’OWASP, il n’y avait pas beaucoup d’outils ou de connaissances disponibles sur la cybers\u00e9curit\u00e9. Avec l’OWASP, la communaut\u00e9 a commenc\u00e9 \u00e0 apprendre comment prot\u00e9ger son code contre les vuln\u00e9rabilit\u00e9s, renforcer le cryptage des logiciels et r\u00e9duire le nombre de bogues dans son code. <\/p>\n\n
<\/div>\n<\/figure>\n
Qu’est-ce que le top 10 de l’OWASP ?<\/h2>\n
Le top 10 de l’OWASP est un document qui r\u00e9pertorie les dix vuln\u00e9rabilit\u00e9s les plus critiques en mati\u00e8re de s\u00e9curit\u00e9 des sites web. Il indique les risques, les impacts et les contre-mesures. Cette liste est \u00e9tablie par des experts en s\u00e9curit\u00e9 des sites web du monde entier. L’OWASP recommande \u00e0 toutes les entreprises d’int\u00e9grer les conclusions du rapport et les recommandations de l’OWASP dans leurs processus de s\u00e9curit\u00e9 des sites web afin de minimiser les risques de s\u00e9curit\u00e9. Le top 10 de l’OWASP est mis \u00e0 jour tous les trois ou quatre ans. Le dernier top 10 de l’OWASP a \u00e9t\u00e9 publi\u00e9 en 2017, et l’OWASP a \u00e9galement publi\u00e9 r\u00e9cemment un projet de top 10 2021. Il y a trois nouvelles cat\u00e9gories. Quatre cat\u00e9gories ont chang\u00e9 de nom ou de port\u00e9e et certaines sont maintenant combin\u00e9es.Les vuln\u00e9rabilit\u00e9s du top dix 2021 de l’OWASP sont : <\/p>\n
D\u00e9faillances cryptographiques<\/strong> (anciennement : Exposition de donn\u00e9es sensibles)<\/li>\n
Injection<\/strong><\/li>\n
Insecure Design<\/strong> (Nouveau)<\/li>\n
Mauvaise configuration de la s\u00e9curit\u00e9<\/strong><\/li>\n
Composants vuln\u00e9rables et obsol\u00e8tes<\/strong> (anciennement : Utilisation de composants dont les vuln\u00e9rabilit\u00e9s sont connues)<\/li>\n
D\u00e9fauts d’identification et d’authentification<\/strong> (anciennement : Authentification d\u00e9faillante)<\/li>\n
D\u00e9fauts d’int\u00e9grit\u00e9 des logiciels et des donn\u00e9es<\/strong> (Nouveau) <\/li>\n
D\u00e9faillances en mati\u00e8re de journalisation et de surveillance de la s\u00e9curit\u00e9<\/strong> (anciennement : Journalisation et surveillance insuffisantes)<\/li>\n
Falsification des requ\u00eates c\u00f4t\u00e9 serveur<\/strong> (SSRF) (Nouveau)<\/li>\n<\/ul>\n
Chaque vuln\u00e9rabilit\u00e9 est expliqu\u00e9e \u00e0 l’aide d’un exemple et des recommandations de l’OWASP.<\/p>\n\n
<\/div>\n<\/figure>\n
Les dix principales vuln\u00e9rabilit\u00e9s de l’OWASP pour 2021<\/h2>\n
D\u00e9faillances cryptographiques<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
Les d\u00e9faillances cryptographiques sont des donn\u00e9es compromises qui auraient d\u00fb \u00eatre prot\u00e9g\u00e9es. Ce probl\u00e8me concerne surtout les donn\u00e9es qui rel\u00e8vent de la l\u00e9gislation sur la protection de la vie priv\u00e9e. <\/p>\n
Exemples :<\/h4>\n
\n
Mots de passe<\/li>\n
Num\u00e9ros de cartes de cr\u00e9dit<\/li>\n
Informations m\u00e9dicales<\/li>\n
Titres de comp\u00e9tences<\/li>\n
Num\u00e9ros de s\u00e9curit\u00e9 sociale<\/li>\n
Informations personnelles identifiables<\/li>\n
Autres informations personnelles<\/li>\n
Secrets d’affaires<\/li>\n<\/ul>\n
Recommandations de l’OWASP :<\/h4>\n
\n
Classer les donn\u00e9es utilis\u00e9es par une application et identifier les donn\u00e9es sensibles.<\/li>\n
Ne stockez pas inutilement des donn\u00e9es sensibles.<\/li>\n
Cryptez toutes les donn\u00e9es sensibles au repos. Cryptez toutes les donn\u00e9es en transit \u00e0 l’aide de protocoles s\u00e9curis\u00e9s. Utilisez un chiffrement authentifi\u00e9. <\/li>\n
Utilisez une gestion appropri\u00e9e des cl\u00e9s. G\u00e9n\u00e9rez des cl\u00e9s cryptographiquement al\u00e9atoires et stock\u00e9es en m\u00e9moire sous forme de tableaux d’octets. <\/li>\n
D\u00e9sactivez la mise en cache des r\u00e9ponses contenant des donn\u00e9es sensibles.<\/li>\n
Appliquer les contr\u00f4les de s\u00e9curit\u00e9 requis en fonction de la classification des donn\u00e9es.<\/li>\n
N’utilisez pas les protocoles traditionnels tels que FTP et SMTP pour les donn\u00e9es sensibles.<\/li>\n
Utilisez des fonctions de hachage adaptatives et sal\u00e9es fortes avec un facteur de travail pour stocker les mots de passe.<\/li>\n
Choisissez les vecteurs d’initialisation pour le mode de fonctionnement appropri\u00e9.<\/li>\n
Utilisez l’al\u00e9a cryptographique le cas \u00e9ch\u00e9ant, de mani\u00e8re non pr\u00e9visible et avec une faible entropie.<\/li>\n
\u00c9vitez les fonctions cryptographiques et les sch\u00e9mas de remplissage obsol\u00e8tes.<\/li>\n
V\u00e9rifier l’efficacit\u00e9 de la configuration et des param\u00e8tres de mani\u00e8re ind\u00e9pendante.<\/li>\n<\/ul>\n\n
<\/div>\n<\/figure>\n
Injection<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
Cette vuln\u00e9rabilit\u00e9 survient lorsqu’une application web re\u00e7oit des donn\u00e9es non valides de la part d’un pirate qui lui fait faire quelque chose pour lequel elle n’est pas programm\u00e9e. <\/p>\n
Exemple :<\/h4>\n
L’injection SQL est l’une des failles d’injection les plus courantes. L’injection SQL est caus\u00e9e par l’utilisation de donn\u00e9es non fiables lors de la construction d’un appel SQL vuln\u00e9rable. L’absence de validation et d’assainissement des donn\u00e9es utilis\u00e9es par les applications web fait que les donn\u00e9es ne sont pas fiables. Cela signifie \u00e9galement que la vuln\u00e9rabilit\u00e9 de l’injection de code peut \u00eatre pr\u00e9sente sur presque tous les types de technologies li\u00e9es aux sites web. <\/p>\n
Recommandations de l’OWASP :<\/h4>\n
\n
S\u00e9parer les donn\u00e9es des commandes et des requ\u00eates. <\/li>\n
L’utilisation d’un API s\u00fbr est l’option pr\u00e9f\u00e9r\u00e9e. <\/li>\n
Utilisez une validation positive ou \u00ab\u00a0liste blanche\u00a0\u00bb des entr\u00e9es c\u00f4t\u00e9 serveur.<\/li>\n
\t<\/li>\n
\u00c9chapper aux caract\u00e8res sp\u00e9ciaux \u00e0 l’aide d’une syntaxe d’\u00e9chappement sp\u00e9cifique.<\/li>\n
\t<\/li>\n
Utiliser LIMIT et d’autres contr\u00f4les SQL dans les requ\u00eates.<\/li>\n<\/ul>\n\n
<\/div>\n<\/figure>\n
Insecure Design (Nouveau)<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
Une conception non s\u00e9curis\u00e9e est une conception de contr\u00f4le manquante ou inefficace. Une conception non s\u00e9curis\u00e9e et une mise en \u0153uvre non s\u00e9curis\u00e9e ne sont pas la m\u00eame chose. Elles ont des causes profondes et des rem\u00e8des diff\u00e9rents. <\/p>\n
Exemple :<\/h4>\n
L’incapacit\u00e9 \u00e0 d\u00e9terminer le niveau de s\u00e9curit\u00e9 requis.<\/p>\n
Recommandations de l’OWASP :<\/h4>\n
\n
Mettre en \u0153uvre la gestion des exigences et des ressources, une conception s\u00e9curis\u00e9e et un cycle de d\u00e9veloppement s\u00e9curis\u00e9.<\/li>\n
Mettre en \u0153uvre un cycle de d\u00e9veloppement s\u00e9curis\u00e9 pour aider \u00e0 \u00e9tablir des contr\u00f4les de s\u00e9curit\u00e9 et de respect de la vie priv\u00e9e. <\/li>\n
Utilisez une biblioth\u00e8que de mod\u00e8les de conception s\u00e9curis\u00e9s ou des composants pr\u00eats \u00e0 l’emploi.<\/li>\n
\t<\/li>\n
Utilisez la mod\u00e9lisation des menaces pour l’authentification critique, la logique d’entreprise, le contr\u00f4le d’acc\u00e8s et les flux de cl\u00e9s.<\/li>\n
\t<\/li>\n
Int\u00e9grer le langage et les contr\u00f4les de s\u00e9curit\u00e9 dans les r\u00e9cits des utilisateurs. <\/li>\n
\t<\/li>\n
Int\u00e9grez des contr\u00f4les de plausibilit\u00e9 \u00e0 chaque niveau de votre application. <\/li>\n
\t<\/li>\n
R\u00e9digez des tests unitaires et d’int\u00e9gration pour valider que tous les flux critiques sont r\u00e9sistants au mod\u00e8le de menace. \u00c9tablissez des cas d’utilisation et de mauvaise utilisation. <\/li>\n
\t<\/li>\n
S\u00e9parer les couches de niveau sur les couches syst\u00e8me et r\u00e9seau. S\u00e9parez les locataires de mani\u00e8re robuste par la conception \u00e0 travers tous les niveaux. <\/li>\n
\t<\/li>\n
Limiter la consommation de ressources par utilisateur ou par service.<\/li>\n<\/ul>\n
Mauvaise configuration de la s\u00e9curit\u00e9<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
La vuln\u00e9rabilit\u00e9 de mauvaise configuration de la s\u00e9curit\u00e9 se produit lorsqu’une application ne dispose pas d’un processus de configuration de la s\u00e9curit\u00e9 concert\u00e9 et reproductible. Elle peut \u00eatre attaqu\u00e9e en essayant autant de combinaisons que possible. <\/p>\n
Exemple :<\/h4>\n
L’une des failles de s\u00e9curit\u00e9 les plus courantes des sites web consiste \u00e0 conserver les configurations par d\u00e9faut du CMS.<\/p>\n
Recommandations de l’OWASP :<\/h4>\n
\n
Mettre en \u0153uvre des processus d’installation s\u00e9curis\u00e9s :<\/li>\n
Automatiser un processus de durcissement. <\/li>\n
D\u00e9ployez un autre environnement correctement verrouill\u00e9.<\/li>\n
\t<\/li>\n
Supprimez les cadres et les fonctionnalit\u00e9s inutilis\u00e9s. <\/li>\n
\t<\/li>\n
Examinez et mettez \u00e0 jour les configurations en fonction de toutes les mises \u00e0 jour, notes de s\u00e9curit\u00e9 et correctifs. <\/li>\n
\t<\/li>\n
Passez en revue les autorisations de stockage dans le nuage.<\/li>\n
\t<\/li>\n
Mettez en \u0153uvre une architecture d’application segment\u00e9e, avec la conteneurisation, la segmentation ou les groupes de s\u00e9curit\u00e9 en nuage.<\/li>\n
\t<\/li>\n
Envoyer des directives de s\u00e9curit\u00e9 aux clients.<\/li>\n
\t<\/li>\n
Mettre en \u0153uvre un processus automatis\u00e9 pour v\u00e9rifier l’efficacit\u00e9 des param\u00e8tres et des configurations dans tous les environnements.<\/li>\n<\/ul>\n\n
<\/div>\n<\/figure>\n
Composants vuln\u00e9rables et obsol\u00e8tes<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
De nos jours, m\u00eame les sites web les plus simples pr\u00e9sentent de nombreuses vuln\u00e9rabilit\u00e9s. Si vous ne mettez pas \u00e0 jour tous les logiciels d’un site web, vous vous exposez t\u00f4t ou tard \u00e0 des risques pour la s\u00e9curit\u00e9 de votre site. <\/p>\n
Recommandations de l’OWASP :<\/h4>\n
\n
Mettez en \u0153uvre un processus de gestion des correctifs :<\/li>\n
Supprimez les d\u00e9pendances inutilis\u00e9es. <\/li>\n
Faites l’inventaire des composants c\u00f4t\u00e9 serveur et c\u00f4t\u00e9 client et de leurs d\u00e9pendances. <\/li>\n
\t<\/li>\n
Surveillez les sources courantes d’information sur les vuln\u00e9rabilit\u00e9s. <\/li>\n
\t<\/li>\n
N’obtenez des composants que de sources officielles. <\/li>\n
\t<\/li>\n
Surveillez les composants et les biblioth\u00e8ques qui ne sont pas maintenus ou qui ne cr\u00e9ent pas de correctifs de s\u00e9curit\u00e9 pour les anciennes versions.<\/li>\n
Assurez un plan permanent de triage, de surveillance et d’application des changements de configuration ou des mises \u00e0 jour pendant toute la dur\u00e9e de vie de l’application.<\/li>\n<\/ul>\n
D\u00e9fauts d’identification et d’authentification<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
Une vuln\u00e9rabilit\u00e9 d’authentification bris\u00e9e peut \u00eatre attaqu\u00e9e \u00e0 l’aide de m\u00e9thodes automatiques ou manuelles. De cette mani\u00e8re, un attaquant peut prendre le contr\u00f4le de n’importe quel compte qu’il souhaite ou m\u00eame de l’ensemble du syst\u00e8me. <\/p>\n
Exemples :<\/h4>\n
\n
Validation incorrecte d’un certificat avec incompatibilit\u00e9 d’h\u00f4te<\/li>\n
Authentification incorrecte<\/li>\n
Fixation de la session<\/li>\n<\/ul>\n
Recommandations de l’OWASP :<\/h4>\n
\n
Mettez en \u0153uvre l’authentification multifactorielle dans la mesure du possible.<\/li>\n
Ne d\u00e9ployez pas et ne livrez pas avec des informations d’identification par d\u00e9faut.<\/li>\n
Alignez les politiques de complexit\u00e9, de longueur et de rotation des mots de passe sur des politiques de mots de passe fond\u00e9es sur des donn\u00e9es probantes.<\/li>\n
Utilisez les m\u00eames messages pour tous les r\u00e9sultats afin de garantir que vos voies d’enregistrement, de r\u00e9cup\u00e9ration des informations d’identification et d’API sont prot\u00e9g\u00e9es contre les attaques par \u00e9num\u00e9ration de comptes.<\/li>\n<\/ul>\n\n
<\/div>\n<\/figure>\n
D\u00e9fauts d’int\u00e9grit\u00e9 des logiciels et des donn\u00e9es (Nouveau)<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
Les failles dans l’int\u00e9grit\u00e9 des logiciels et des donn\u00e9es sont des vuln\u00e9rabilit\u00e9s li\u00e9es au code et \u00e0 l’infrastructure qui ne sont pas prot\u00e9g\u00e9s contre les violations de l’int\u00e9grit\u00e9.<\/p>\n
Exemples :<\/h4>\n
\n
Lorsque des plugins, des biblioth\u00e8ques, des modules provenant de d\u00e9p\u00f4ts, de sources non fiables ou de r\u00e9seaux de diffusion de contenu sont utilis\u00e9s dans l’application. <\/li>\n
L’existence d’une canalisation non s\u00e9curis\u00e9e peut entra\u00eener l’apparition de codes malveillants, la compromission du syst\u00e8me ou un acc\u00e8s non autoris\u00e9.<\/li>\n
Les mises \u00e0 jour sont t\u00e9l\u00e9charg\u00e9es sans v\u00e9rification suffisante de l’int\u00e9grit\u00e9 et sont appliqu\u00e9es \u00e0 l’application pr\u00e9c\u00e9demment approuv\u00e9e.<\/li>\n
…<\/li>\n<\/ul>\n
Recommandations de l’OWASP :<\/h4>\n
\n
Utilisez des signatures num\u00e9riques ou des m\u00e9canismes similaires.<\/li>\n
Assurez-vous que les d\u00e9pendances et les biblioth\u00e8ques consomment des d\u00e9p\u00f4ts fiables.<\/li>\n
V\u00e9rifiez que les composants ne contiennent pas de vuln\u00e9rabilit\u00e9s connues en vous assurant qu’un outil de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement des logiciels est utilis\u00e9.<\/li>\n
Veillez \u00e0 ce qu’il existe un processus d’examen des changements de configuration et de code afin de minimiser le risque de code malveillant.<\/li>\n
Veillez \u00e0 ce que le pipeline dispose d’une configuration, d’une s\u00e9paration et d’un contr\u00f4le d’acc\u00e8s ad\u00e9quats pour garantir l’int\u00e9grit\u00e9 du code.<\/li>\n<\/ul>\n\n
<\/div>\n<\/figure>\n
D\u00e9faillances dans l’enregistrement et la surveillance de la s\u00e9curit\u00e9<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
Les d\u00e9faillances en mati\u00e8re de journalisation et de surveillance de la s\u00e9curit\u00e9 surviennent lorsque la journalisation, la d\u00e9tection et la surveillance sont insuffisantes. En l’absence d’une journalisation et d’une surveillance suffisantes, les violations ne peuvent pas \u00eatre d\u00e9tect\u00e9es. <\/p>\n
Exemples :<\/h4>\n
\n
Les \u00e9v\u00e9nements v\u00e9rifiables ne sont pas enregistr\u00e9s.<\/li>\n
Les avertissements et les erreurs g\u00e9n\u00e8rent des messages peu clairs ou pas du tout.<\/li>\n
Les journaux des applications et des API ne sont pas contr\u00f4l\u00e9s.<\/li>\n
Les journaux ne sont stock\u00e9s que localement.<\/li>\n
Pas de seuil d’alerte appropri\u00e9 ni de processus d’escalade de la r\u00e9ponse en place<\/li>\n
Les tests de p\u00e9n\u00e9tration et les analyses effectu\u00e9es par des outils de test dynamique de la s\u00e9curit\u00e9 des applications ne d\u00e9clenchent pas d’alertes.<\/li>\n
L’application ne peut pas d\u00e9tecter les attaques actives en temps r\u00e9el.<\/li>\n<\/ul>\n
Recommandations de l’OWASP :<\/h4>\n
\n
Veillez \u00e0 ce que tous les \u00e9checs de contr\u00f4le d’acc\u00e8s, de connexion et de validation des entr\u00e9es c\u00f4t\u00e9 serveur puissent \u00eatre enregistr\u00e9s avec un contexte utilisateur suffisant.<\/li>\n
Assurez-vous que les journaux sont g\u00e9n\u00e9r\u00e9s dans un format que les solutions de gestion des journaux peuvent facilement exploiter.<\/li>\n
Pr\u00e9venez les attaques contre les syst\u00e8mes d’enregistrement ou de surveillance en codant correctement les donn\u00e9es d’enregistrement.<\/li>\n
Emp\u00eachez la falsification ou la suppression en veillant \u00e0 ce que les transactions de grande valeur disposent d’une piste d’audit avec des contr\u00f4les d’int\u00e9grit\u00e9.<\/li>\n
Mettre en place un syst\u00e8me de surveillance et d’alerte efficace.<\/li>\n
\u00c9tablir un plan de r\u00e9ponse et de r\u00e9cup\u00e9ration en cas d’incident.<\/li>\n<\/ul>\n\n
<\/div>\n<\/figure>\n
Falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF) (Nouveau)<\/h3>\n
Qu’est-ce que c’est ?<\/h4>\n
Un attaquant peut envoyer une requ\u00eate \u00e9labor\u00e9e avec l’application lorsqu’une application web r\u00e9cup\u00e8re une ressource distante sans valider l’URL fournie par l’utilisateur.<\/p>\n
Recommandations de l’OWASP :<\/h4>\n
\n
R\u00e9duire l’impact du SSRF. Segmenter la fonctionnalit\u00e9 d’acc\u00e8s aux ressources distantes dans des r\u00e9seaux distincts. <\/li>\n
Appliquer des politiques de pare-feu ou des r\u00e8gles de contr\u00f4le d’acc\u00e8s au r\u00e9seau \u00ab\u00a0refus\u00e9es par d\u00e9faut\u00a0\u00bb. Bloquez tout le trafic sauf celui qui est essentiel. <\/li>\n
Assainissez et validez toutes les donn\u00e9es d’entr\u00e9e fournies par le client. Utilisez une liste positive d’autorisations pour appliquer le sch\u00e9ma d’URL, le port et la destination. N’envoyez pas de r\u00e9ponses brutes aux clients. D\u00e9sactivez les redirections HTTP. Veillez \u00e0 la coh\u00e9rence de l’URL. <\/li>\n
Ne d\u00e9ployez pas d’autres services li\u00e9s \u00e0 la s\u00e9curit\u00e9 sur les syst\u00e8mes frontaux. <\/li>\n
Utilisez le cryptage r\u00e9seau sur des syst\u00e8mes ind\u00e9pendants pour les frontaux avec des groupes d’utilisateurs d\u00e9di\u00e9s et g\u00e9rables.<\/li>\n<\/ul>\n
D\u00e9couvrez l’isolation des applications web Jimber<\/h2>\n
Le Jimber Web Application Isolation prot\u00e8ge vos applications d’entreprise \u00e0 l’aide d’un conteneur. Vos donn\u00e9es sont interpr\u00e9t\u00e9es dans le conteneur et seule la visualisation graphique de ces donn\u00e9es parvient \u00e0 l’utilisateur final. Les attaquants ne peuvent interagir qu’avec la couche Jimber, mais plus directement avec les API de l’application. L’isolation des applications web Jimber r\u00e9pond aux exigences les plus \u00e9lev\u00e9es et garantit la s\u00e9curit\u00e9 des sites web. L’isolation des applications web Jimber att\u00e9nue de nombreuses vuln\u00e9rabilit\u00e9s du top 10 2021 de l’OWASP, en n’exposant pas directement les API. Certaines vuln\u00e9rabilit\u00e9s peuvent \u00eatre expliqu\u00e9es plus en d\u00e9tail. Gardez \u00e0 l’esprit que Jimber Web Application Isolation fonctionne en plus de vos mesures de s\u00e9curit\u00e9 actuelles. Il ne peut pas emp\u00eacher toutes les vuln\u00e9rabilit\u00e9s possibles \u00e0 lui seul. Cependant, il renforcera toutes les mesures de s\u00e9curit\u00e9 existantes et fournira une solide couche de protection suppl\u00e9mentaire. <\/p>\n\n
\u00c9tant donn\u00e9 que l’isolation des applications n’intervient pas dans l’application elle-m\u00eame, il n’est pas possible d’emp\u00eacher l’interruption du contr\u00f4le d’acc\u00e8s. Cependant, l’enregistrement de l’\u00e9cran peut montrer qui a utilis\u00e9 le contr\u00f4le d’acc\u00e8s. <\/p>\n
D\u00e9faillances cryptographiques<\/h2>\n
L’isolation de nos applications ne peut pas prot\u00e9ger contre les fuites de donn\u00e9es sensibles. Cependant, l’utilisation de l’enregistrement d’\u00e9cran permet d’avoir une trace des donn\u00e9es auxquelles l’utilisateur a acc\u00e9d\u00e9. <\/p>\n
Injection<\/h2>\n
En emp\u00eachant l’utilisateur d’acc\u00e9der directement aux API, l’isolation de notre application web emp\u00eachera la plupart des possibilit\u00e9s d’injection. Elle emp\u00eachera \u00e9galement les attaques par d\u00e9bordement de m\u00e9moire tampon. La protection du frontend \/ la v\u00e9rification des entr\u00e9es est maintenant une s\u00e9curit\u00e9. Nous ne pouvons pas emp\u00eacher totalement les XSS. Nous pouvons cependant emp\u00eacher les XSS d’acc\u00e9der \u00e0 des ressources externes, et donc pr\u00e9venir les fuites de donn\u00e9es. Nous pouvons \u00e9galement d\u00e9tecter les anomalies dans le trafic de donn\u00e9es. En outre, nous analysons les URL \u00e0 la recherche de scripts. <\/p>\n
Mauvaise configuration de la s\u00e9curit\u00e9<\/h2>\n
En n’autorisant pas l’envoi direct de XML au service dorsal, XXE est virtuellement impossible. La surface pour les erreurs de configuration de la s\u00e9curit\u00e9 devient beaucoup plus petite, puisque la s\u00e9curit\u00e9 optique est la s\u00e9curit\u00e9.<\/p>\n
Composants vuln\u00e9rables et obsol\u00e8tes<\/h2>\n
De nombreux composants vuln\u00e9rables et obsol\u00e8tes sont exploit\u00e9s en acc\u00e9dant directement aux API. Cet angle d’attaque sp\u00e9cifique des composants vuln\u00e9rables et obsol\u00e8tes devient impossible avec Jimber Web Application Isolation. <\/p>\n
D\u00e9fauts d’identification et d’authentification<\/h2>\n
En mettant en \u0153uvre oAuth ou l’authentification par cl\u00e9 publique\/priv\u00e9e sur votre application SaaS ou votre intranet, nous pouvons prot\u00e9ger l’authentification avec la plus grande s\u00e9curit\u00e9 possible.<\/p>\n
D\u00e9faillances dans l’enregistrement et la surveillance de la s\u00e9curit\u00e9<\/h2>\n
![\"applications](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/owasp-web-applications-300x188.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"vuln\u00e9rabilit\u00e9s](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/owasp-vulnerabilities-300x183.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"les](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/cryptographic-failures-300x143.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"injection](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/code-injection-300x169.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"mauvaise](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/security-misconfiguration.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"les](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/identification-and-authentication-failures-300x225.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"les](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/software-and-data-integrity-failures-300x163.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"les](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/security-logging-and-monitoring-failures-300x162.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n![\"s\u00e9curit\u00e9](\"https:\/\/jimber.io\/wp-content\/uploads\/2025\/04\/owasp-website-security.jpeg\" "\\"\\"")
<\/div>\n<\/figure>\n