Wiki GVO
Comprendre les risques et concepts techniques que GVO peut observer dans une application, avec leurs limites et pistes de vérification.
XSS : injection de contenu actif et assainissement
Comprendre les mécanismes du Cross-Site Scripting (XSS), le modèle de rendu React, les faiblesses des sinks HTML et la stratégie de défense en profondeur.
SSRF : requêtes serveur vers des destinations contrôlables
Comprendre la faille Server-Side Request Forgery (SSRF), les risques sur les réseaux internes et cloud, et comment mettre en place une défense réseau multi-couches.
Sorties IA non validées vers des opérations sensibles
Comprendre la frontière entre sortie probabiliste d'un modèle d'IA et contrat déterministe d'une opération sensible, et comment concevoir des barrières d'exécution étanches.
Secrets exposés côté navigateur : risques, détection et séparation
Comprendre pourquoi le frontend est un environnement public, distinguer un identifiant public d'un secret confidentiel et empêcher la fuite de clés sensibles.
Données mock et simulations résiduelles en production
Comprendre pourquoi les jeux de données factices et les simulations laissés par les assistants d'IA créent des faux positifs de bon fonctionnement et fragilisent la mise en production.
Webhooks Stripe : signature, idempotence et fiabilité des paiements
Architecture de traitement résiliente des événements Stripe : vérification cryptographique, idempotence par event.id, gestion des retries et découplage.
Timeout des appels HTTP : prévention du blocage des sockets et résilience réseau
Comprendre pourquoi l'absence de timeout sur les appels fetch ou axios paralyse les serveurs Node.js, et comment configurer des limites réseau et métier avec AbortController.
Retry non borné : risques d'amplification d'incident et stratégies de reprise
Pourquoi rejouer aveuglément des requêtes défaillantes entraîne l'effondrement en cascade des services et l'explosion de la facture API, et comment implémenter un retry borné avec backoff exponentiel.
Erreurs critiques avalées : détection et gestion des échecs silencieux
Comprendre pourquoi intercepter une exception sans la traiter ni la propager détruit la cohérence du système, et comment concevoir une gestion d'erreur robuste sur les chemins critiques.
Row Level Security Supabase : fonctionnement, politiques et limites
Comprendre le fonctionnement du Row Level Security (RLS) dans PostgreSQL et Supabase, l'écriture des politiques d'accès et pourquoi RLS activé ne garantit pas la sécurité.
Énumération de comptes utilisateur : mécanismes, signaux et parades
Comprendre comment les formulaires de connexion, d'inscription et de réinitialisation divulguent l'existence de comptes, et comment aligner sécurité et expérience utilisateur sans fausses promesses.
Autorisation : vérifier qui peut agir
Différencier authentification et autorisation dans les mutations applicatives.