Back-end · 4 mondes · 12 étapes

Auth & sécurité

Mots de passe, jetons signés, failles du web et autorisation, écrits de ses mains.

Progression

0 %

0/12 étapes terminées

Mode 1

Du premier écran à la maîtrise

Le parcours complet découpé en quatre niveaux. Pour chacun : l'objectif, les compétences à acquérir et ce que tu sauras faire à la fin.

« Agis comme un tuteur expert. Crée une feuille de route qui amène un débutant jusqu'à la maîtrise avancée, en étapes claires avec les compétences à acquérir à chaque niveau. »

  1. NIVEAU1

    Mondes 1 et 2

    Mots de passe et jetons

    Prouver qui l'on est

    Stocker des mots de passe sans jamais les connaître, et délivrer des jetons infalsifiables.

    0/6

    Compétences à acquérir

    • Hachage lent et saléPBKDF2, sel aléatoire, itérations.
    • Comparaison en temps constantNe pas trahir un secret par sa durée.
    • Signature HMACL'intégrité d'un message, sans le cacher.
    • Jetons à expirationLe principe des JWT, écrit de ses mains.

    À la fin, tu sauras

    • Écrire une inscription qui ne stocke aucun mot de passe
    • Détecter un jeton falsifié
    • Expliquer pourquoi un jeton ne se révoque pas
    S1 · Les mots de passeS2 · Les jetons signés
  2. NIVEAU2

    Monde 3

    Quand une donnée devient du code

    Se méfier des entrées

    Neutraliser les entrées qui s'exécutent, redirigent ou remontent les dossiers.

    0/3

    Compétences à acquérir

    • XSSÉchapper le HTML, et connaître les portes de sortie des frameworks.
    • Redirections ouvertesN'accepter que des chemins internes.
    • Traversée de cheminsRefuser .. et les séparateurs.
    • Listes blanchesFermé par défaut, ouvert explicitement.

    À la fin, tu sauras

    • Échapper un texte dans le bon ordre
    • Refuser le piège //
    • Préférer une liste blanche à une liste noire
    S3 · Les failles du web
  3. NIVEAU3

    Monde 4

    Qui peut faire quoi, sur quoi

    Autoriser

    Centraliser les permissions et vérifier la propriété de chaque donnée.

    0/3

    Compétences à acquérir

    • PermissionsUne table rôle → actions, fermée par défaut.
    • Moindre privilègeChacun le nécessaire, rien de plus.
    • PropriétéLa faille IDOR, et la réponse 404 qui ne révèle rien.

    À la fin, tu sauras

    • Remplacer des tests de rôles dispersés
    • Fermer une faille IDOR
    • Combiner propriété et permission
    S4 · L'autorisation