Top 15 menaces sécurité web : catalogue risques aligné OWASP

Les menaces de sécurité des applications web évoluent, mais les causes profondes persistent. Voici les 15 menaces les plus critiques mappées aux catégories OWASP Top 10 (2021) :

Injections & Échecs d'entrée

1. Injection SQL (A03:2021) — Entrée non nettoyée dans requêtes SQL → vol données, contournement auth, RCE. Fix : Requêtes paramétrées / ORM.
2. Cross-Site Scripting / XSS (A03:2021) — XSS Réfléchi/Stocké/DOM → vol session, défiguration, vol identifiants. Fix : Encodage sortie, CSP, cookies HttpOnly.
3. Injection de commande — Entrée utilisateur passée au shell système (`exec`, `system`, backticks). Fix : Éviter shell ; listes allow ; `subprocess` avec tableau args.
4. Injection LDAP / NoSQL / ORM — Même pattern, parseurs différents. Fix : APIs paramétrées.

Contrôle d'accès cassé (A01:2021)

5. IDOR / Références directes d'objets non sécurisées — `/api/user/123/orders` → changez en 124. Fix : Vérifications autorisation par requête.
6. Contrôle d'accès niveau fonction manquant — Endpoints admin appelables par utilisateurs. Fix : Middleware RBAC/ABAC.
7. Path Traversal — `../../etc/passwd` dans paramètres fichiers. Fix : Normalisation chemin, chroot, listes allow.

Échecs authentification & session (A07:2021)

8. Identifiants faibles / Credential Stuffing — Pas de MFA, mots de passe piratés réutilisés. Fix : MFA (TOTP/WebAuthn), vérif mot de passe piraté (HaveIBeenPwned), rate limiting.
9. Fixation / Détournement de session — IDs session prévisibles, pas Secure/HttpOnly/SameSite. Fix : Rotation ID à la connexion, flags cookies sécurisés.
10. Réinitialisation mot de passe cassée — Token dans URL, pas d'expiration, énumération utilisateur. Fix : JWT courte durée, réponses génériques.

Architecture & Configuration

11. Mauvaise configuration sécurité (A05:2021) — Identifiants par défaut, ports ouverts, erreurs verbeuses, headers manquants (HSTS, CSP, X-Frame-Options), debug activé en prod.
12. Composants vulnérables & obsolètes (A06:2021) — Frameworks non patchés (Log4Shell, Spring4Shell), dépendances. Fix : SBOM, Dependabot, Snyk, mises à jour planifiées.
13. Désérialisation non sécurisée (A08:2021) — Entrée objet → RCE (Java, .NET, PHP, Python pickle). Fix : Éviter sérialisation ; tokens signés/chiffrés ; listes allow.

Menaces modernes

14. SSRF (A10:2021) — Serveur récupère URL contrôlée par attaquant → métadonnées cloud (169.254.169.254), services internes. Fix : Allowlist URLs, refus IPs privées, pas de redirections.
15. Attaques chaîne d'approvisionnement — Dépendance compromise (event-stream, UA-Parser-JS), empoisonnement CI/CD (SolarWinds, Codecov). Fix : Lockfiles, sigstore, builds reproductibles, images de base minimales.

Transverses

• DoS/DDoS — Volumétrique, couche application (slowloris, HTTP/2 rapid reset). Fix : WAF, rate limit, CDN, Anycast.
• MITM / Échecs TLS — Certificats expirés, chiffrements faibles, pas HSTS, contournement cert pinning. Fix : TLS 1.2+, automatisation cert (ACME), monitoring CT.
• Hameçonnage / Ingénierie sociale — Vol identifiants, fatigue MFA, phishing consentement OAuth. Fix : MFA résistante phishing (FIDO2), DMARC, formation.
• Failles logique métier — Manipulation prix, contournement workflow, conditions de course. Fix : Modélisation menaces, tests intégration, logs audit immuables.

Checklist Défense en profondeur

• WAF (Cloudflare, AWS WAF, ModSecurity) — patching virtuel
• SAST/DAST/IAST dans CI/CD
• Test d'intrusion annuel + après changements majeurs
• Bug bounty (HackerOne, Bugcrowd) ou VDP
• Plan réponse incident + exercices tabletop

La sécurité n'est pas une fonctionnalité — c'est un processus. La liste ci-dessus est votre point de départ pour la modélisation des menaces.