Checklist : 25 points à vérifier avant de mettre votre application en ligne

A. Authentification (5 points)

• 1. Toutes les pages et routes non publiques exigent une connexion, côté serveur et pas seulement dans l’interface.
• 2. Les mots de passe sont gérés par un service éprouvé, jamais stockés en clair ni chiffrés maison.
• 3. Les tentatives de connexion et de réinitialisation sont limitées par compte et par adresse.
• 4. Les liens de réinitialisation expirent et ne fonctionnent qu’une fois.
• 5. Les sessions expirent et sont révoquées à la déconnexion et au changement de mot de passe.

B. Droits d’accès (4 points)

• 6. Chaque lecture, modification ou suppression vérifie côté serveur que la ressource appartient à l’utilisateur.
• 7. Le rôle administrateur n’est jamais déterminé par un champ que l’utilisateur peut modifier.
• 8. Les fonctions d’administration sont inaccessibles aux autres rôles, y compris par appel direct de l’API.
• 9. Testé avec deux comptes différents : A ne peut ni lire ni modifier les données de B.

C. Données (4 points)

• 10. La base de données a des règles d’accès activées sur chaque table (RLS, règles Firebase) et testées.
• 11. Les fichiers stockés (images, documents) ont des règles d’accès : pas de dossier public par défaut.
• 12. Les sauvegardes existent et une restauration a été testée au moins une fois.
• 13. Vous savez quelles données personnelles vous stockez, et vous pouvez les supprimer sur demande.

D. Secrets (4 points)

• 14. Aucune clé secrète (paiement, IA, administration) n’est présente dans le code envoyé au navigateur.
• 15. Les variables préfixées NEXT_PUBLIC_, VITE_ ou équivalent ne contiennent que des valeurs publiques.
• 16. Aucun secret n’est présent dans le dépôt Git, historique compris ; toute clé déjà publiée a été renouvelée.
• 17. Les clés ont des limites : plafond de dépense pour les API payantes, restrictions de domaine ou d’adresse quand c’est possible.

E. Configuration web (4 points)

• 18. HTTPS partout, avec redirection du HTTP et en-tête Strict-Transport-Security.
• 19. En-têtes de sécurité présents : Content-Security-Policy, X-Content-Type-Options, Referrer-Policy, protection contre l’affichage en iframe.
• 20. Cookies de session en Secure, HttpOnly et SameSite.
• 21. CORS limité aux origines nécessaires ; pas de joker avec identifiants.

F. Entrées et exploitation (4 points)

• 22. Toutes les entrées sont validées côté serveur ; requêtes de base de données paramétrées.
• 23. Les envois de fichiers sont limités en type et en taille et stockés hors de la racine web.
• 24. Les dépendances sont auditées (aucun paquet inconnu, aucune vulnérabilité critique connue) et les versions figées.
• 25. Les erreurs ne divulguent pas de détails en production, et les événements sensibles (connexions, changements de droits) sont journalisés.

Ce que vous ne savez pas vérifier ?

Notez-le : c’est exactement le périmètre où un regard extérieur apporte le plus. Le scan gratuit couvre les points 14, 15, 18, 19 et 20 de l’extérieur ; l’audit couvre le reste, avec preuve et correctif.