Ce que ça coûte
Estimation de l’intensité par type de conséquence, sur une échelle de cinq. Ce sont des ordres de grandeur destinés à arbitrer, pas des chiffres à reporter dans un budget.
Financier3/5Exploitation3/5Image3/5Légal3/5
Faille applicative (injection, XSS)
Un défaut dans le code de l’application (injection SQL, XSS, logique) permet de détourner son fonctionnement, de voler des données ou de prendre la main.
La parade
Sécurité applicative (SAST/DAST/SCA)
Domaines à couvrir
Solutions de mitigation
Les outils gratuits du manuel qui réduisent ce risque. Aucun ne l’annule à lui seul : c’est leur combinaison, et l’usage qu’on en fait, qui compte.
Semgrep (CLI open source)
Licence : GNU LGPL v2.1Analyse statique (SAST) rapide et multi-langages, pilotée par des règles lisibles. Le moteur en ligne de commande et les règles communautaires sont libres et exécutables localement.
OWASP ZAP
Licence : Apache 2.0Proxy d'interception et scanner dynamique (DAST) de référence pour tester les applications web. Maintenu par la fondation OWASP, entièrement gratuit et automatisable.
OWASP Dependency-Check
Licence : Apache 2.0Analyse des dépendances (SCA) qui identifie les composants comportant des vulnérabilités connues (CVE). Intégrable en ligne de commande, Maven, Gradle ou CI.