· 7 min de lecture
IDOR et contrôle d’accès défaillant : guide pratique
Comment les IDOR et les failles de contrôle d’accès s’infiltrent dans REST, GraphQL et les route handlers, comment les tester et les corriger.
- Sécurité
- OWASP
- Contrôle d’accès
Sécurité
Guides sur la sécurité du code, la revue de code IA et des correctifs qui tiennent.
· 7 min de lecture
Pièges de sécurité JWT et session, et comment les éviter
Les erreurs JWT et de session qui mènent au vol de compte : confusion d’algorithme, secrets faibles, claims non vérifiés, stockage, rotation, déconnexion.
- Authentification
- JWT
- Sécurité
· 7 min de lecture
Secrets exposés dans l’historique Git : détecter, révoquer, prévenir
Supprimer une clé d’API commitée ne l’efface pas de l’historique Git. Détecter les fuites, révoquer d’abord, réécrire l’historique et éviter la prochaine.
- Sécurité
- Git
- Secrets
· 8 min de lecture
Checklist de sécurité pour l’App Router de Next.js
Checklist sécurité pour l’App Router Next.js : server actions, route handlers, middleware, variables d’env, CSRF, en-têtes, webhooks et cache utilisateur.
- Next.js
- Sécurité
- Checklist
· 8 min de lecture
Injection de prompt et sécurité des applications LLM : guide pratique
Comment l’injection de prompt, l’abus d’outils et l’exfiltration par liens frappent les fonctions LLM, et les contrôles qui limitent les dégâts.
- IA
- LLM
- Sécurité
· 7 min de lecture
Situations de concurrence et bugs TOCTOU dans les applications web
Double dépense, coupons réutilisés, limites contournées : comment ces courses surviennent et comment les corriger par contraintes, verrous et idempotence.
- Concurrence
- Bases de données
- Sécurité
· 7 min de lecture
Les en-têtes de sécurité expliqués : CSP, HSTS et les autres
Guide pratique de la CSP avec nonces et strict-dynamic, de HSTS et du preload, de frame-ancestors, Referrer-Policy, Permissions-Policy et COOP, config Next.js.
- Sécurité
- Web
- Next.js
· 7 min de lecture
Prévenir l’injection SQL en Node.js, Python et Go
Extraits SQL vulnérables et corrigés pour pg, Prisma, psycopg, SQLAlchemy et database/sql de Go, plus ORDER BY dynamiques et listes IN sûrs. CWE-89.
- Sécurité
- SQL
- OWASP
· 7 min de lecture
Se défendre contre la SSRF : webhooks, aperçus de liens et récupération d’URL
Comment la SSRF transforme webhooks, aperçus de liens et imports en accès aux métadonnées cloud et aux services internes, et les défenses qui tiennent.
- Sécurité
- SSRF
- Node.js
· 9 min de lecture
Les 10 vulnérabilités de code à traquer en 2026
Checklist pratique des dix classes de vulnérabilités à vérifier à chaque revue de code, avec OWASP Top 10, CWE et le correctif en une ligne.
- Sécurité
- OWASP
- Checklist
· 5 min de lecture
Ce qu'un identifiant CWE vous apprend sur un bug
Les identifiants CWE font d'une découverte de sécurité floue une classe de faiblesse précise et traçable. Guide pour les lire et prioriser les correctifs.
- CWE
- Sécurité
- Bases