Cybersécurité 4 : sécurité des applications web

Comprenez comment les sites et applications sont attaqués (OWASP Top 10 : injections, XSS, contrôle d’accès, authentification…) et comment développeurs et administrateurs les protègent.

6modules
24leçons
5 semainesdurée estimée, à votre rythme
Quizcorrigés à chaque module
Attestationvérifiable par QR code

Présentation

Quatrième étape du cycle Cybersécurité d’EBoostMe Academy. Les sites web, applications mobiles et API sont exposés à Internet en permanence : ce sont les premières cibles. Vous apprendrez à reconnaître les failles les plus fréquentes, à les tester dans votre laboratoire et surtout à les corriger.

Ce que vous saurez faire à la fin

Expliquer le fonctionnement de HTTP, des cookies, des sessions et des API.
Reconnaître et corriger les failles de l’OWASP Top 10 : injection SQL, XSS, contrôle d’accès défaillant, mauvaise configuration, composants vulnérables…
Sécuriser l’authentification : mots de passe, sessions, double vérification, réinitialisation.
Configurer les en-têtes de sécurité, HTTPS et un pare-feu applicatif.
Tester une application de laboratoire avec un proxy d’interception, dans un cadre légal.

Prérequis

Avoir suivi les étapes 1 à 3 du cycle. Des notions de HTML et de programmation aident mais ne sont pas obligatoires.

Programme

1Comment fonctionne une application web

Client, serveur et base de données
Requêtes et réponses HTTP
Cookies, sessions et jetons
Le laboratoire web et le cadre légal

2Les injections

Le principe de l’injection
L’injection SQL
Injection de commandes et de fichiers
Valider les entrées, encoder les sorties

3XSS, CSRF et attaques côté navigateur

Le script intersite (XSS)
Se protéger du XSS
La falsification de requêtes (CSRF)
Détournement de clics et autres attaques côté client

4Authentification et contrôle d’accès

Stocker les mots de passe correctement
Sessions, double vérification et réinitialisation
Le contrôle d’accès défaillant
Bien contrôler les accès

5Configuration, composants et API

L’OWASP Top 10 en un coup d’œil
Mauvaise configuration et secrets exposés
Composants vulnérables et chaîne d’approvisionnement
Sécuriser une API et éviter le SSRF

6Durcir un site et le tester

HTTPS et en-têtes de sécurité
Pare-feu applicatif, limitation et sauvegardes
Journaliser et surveiller une application
Méthode d’audit et rapport

Comment se déroule cette formation

InscriptionPaiement par MTN MoMo ou Orange Money : votre accès s’ouvre dès la confirmation.
Leçons à votre rythme6 modules et 24 leçons à lire sur téléphone ou ordinateur, quand vous voulez. Votre progression est enregistrée.
Un quiz par module8 questions tirées au hasard, à réussir avec au moins 70 % pour ouvrir le module suivant. En cas d’échec, vous recommencez avec d’autres questions.
L’examen finalUne évaluation qui reprend l’ensemble de la formation.
Votre attestationDélivrée à la réussite, avec un QR code que tout recruteur ou client peut vérifier.

Module 4 · Leçon 1

Stocker les mots de passe correctement

Un site ne doit jamais pouvoir relire les mots de passe de ses utilisateurs. On stocke une empreinte calculée avec un algorithme lent et salé, conçu pour cela : bcrypt, Argon2 ou scrypt. Le sel : une valeur aléatoire propre à chaque compte, qui rend inutiles les tables précalculées et fait que deux mots de passe identiques n’ont pas la même empreinte. ; La lenteur : volontaire, elle rend très coûteux l’essai de milli...

La suite dans la formation…

Quiz du module 4 · exemple

À quoi sert le sel dans le stockage des mots de passe ?