Conception et développement sécurisé Web et API
Intégrer les protections dans l’architecture et dans les traitements de l’application.
Une prestation adaptée à votre application
Nous accompagnons les équipes qui conçoivent et développent des applications métier, des interfaces Web et des API. La démarche relie les usages, les rôles, les échanges et les données aux mécanismes de sécurité à construire. Elle peut concerner une fonctionnalité, une interface de gestion ou une évolution faisant suite à un audit.
Architecture applicative
Définir les frontières entre interface, API, services et stockage. Identifier les données sensibles et les relations de confiance.
Identités et autorisations
Concevoir les rôles, les contrôles d’accès et la gestion des sessions. Prévoir les parcours d’administration et les opérations sensibles.
Traitements et échanges
Accompagner la validation des entrées, les accès aux données et les communications. Réduire les risques d’injection et d’exposition d’informations.
Déploiement et maintenance
Relier le développement aux configurations, aux secrets, aux dépendances et aux vérifications avant mise en service.
Comment se déroule la mission ?
Préciser les usages
Définir les fonctions, les rôles et les contraintes du projet. Partager les choix d’architecture et les exigences de sécurité.
Développer et relire
Construire les fonctions retenues et organiser les revues. Examiner les traitements et les protections au fil du développement.
Vérifier et transmettre
Réaliser les essais convenus, documenter les éléments livrés et accompagner les équipes dans leur prise en main.
Ce que vous obtenez
- Exigences et architecture applicative documentées.
- Code et fonctions de sécurité selon le périmètre retenu.
- Résultats des vérifications et recommandations de déploiement.
Une interface de production pour des produits embarqués
Pour un acteur de l’embarqué maritime, nous avons conçu une interface reliée à une API de gestion des dispositifs. Elle permettait d’enregistrer un produit, de récupérer le bootloader correspondant et de déclencher son flashage, avec un atelier de prise en main pour l’équipe.
Vos questions sur cette prestation
Développez-vous une application complète ?
La mission peut porter sur un développement ciblé ou un périmètre applicatif plus large. Les fonctions, technologies et responsabilités sont définies avant le démarrage.
Pouvez-vous intervenir sur une application existante ?
Oui. Une analyse de l’existant permet de choisir les évolutions et les vérifications utiles.
Les API sont-elles traitées séparément du front Web ?
Elles ont des contrôles propres, notamment sur les objets et les autorisations. Leur conception doit rester cohérente avec les rôles et les usages de l’ensemble de l’application.
Les cadres de conformité à examiner
Le CRA n’est pas applicable à tout site Web ou service SaaS par défaut : il faut examiner le produit logiciel et les éventuelles solutions de traitement de données à distance associées. ISO/IEC 27001 concerne le SMSI de l’organisation ; NIS 2 peut aussi s’appliquer à celle-ci selon son activité.
Cyber Resilience Act
Produits comportant des éléments numériques : déterminer le périmètre et les obligations du fabricant sur le cycle de vie.
Comprendre ce cadreISO/IEC 27001
Management de la sécurité de l’information : structurer le périmètre du SMSI, les risques, les responsabilités et les preuves de suivi.
Comprendre ce cadreLes autres prestations Web
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre