Miraat·dweb developer journey, reflected

IT EN FR عربي

Se connecter

SE

Sécurité Applicative

Pensez comme un attaquant pour écrire du code qui résiste. Vulnérabilités, hardening, audits.

18 compétences 7 mois Avancé

Pour écrire du code sécurisé, il faut d'abord comprendre comment le code casse. Ce parcours vous enseigne les principales classes de vulnérabilités (OWASP Top 10), le modèle de menace des applications web, et comment fonctionnent le hardening, les audits et la réponse aux incidents en pratique.

Ce n'est pas un cours de hacking : c'est une formation défensive, pensée pour les développeurs qui veulent réduire le risque dans les produits qu'ils livrent, et pour les personnes qui rejoignent des rôles AppSec ou blue team.

Débouchés : ingénieur AppSec, analyste blue team, full-stack orienté sécurité.

Foundation

Modélisation des menaces

Cartographier actifs, attaquants et points d'entrée. STRIDE pour ingénieur pragmatique.

OWASP Top 10 en profondeur

Les 10 familles de bugs les plus courantes avec CVE réelles et correctifs.

Core

Injection SQL — défense

Pourquoi les prepared statements gagnent toujours, sécurité ORM, blind injection.

Output encoding, CSP, trusted types, assainir uniquement aux frontières.

Tokens, cookies SameSite, double-submit, quand le même origin suffit.

Faiblesses d'authentification

Credential stuffing, brute force, failles de reset, bypass MFA.

Gestion des sessions

Attributs cookie, fixation, hijacking, rotation au changement de privilèges.

Configuration TLS

Suites de chiffrement, profils modernes, renouvellement auto, HSTS preload.

En-têtes de sécurité HTTP

CSP, X-Frame-Options, Referrer-Policy, Permissions-Policy. Gains faciles.

Gestion des secrets

Vault, KMS, sealed secrets. Rotation. Jamais dans git ni dans des .env en prod.

Sécurité des dépendances

Lockfiles, audit, upgrades automatisés, bases de vulnérabilités connues.

Logging pour la sécurité

Quoi logger, quoi NE PAS logger (PII !), chaînes anti-altération, rétention.

Advanced

Server-side request forgery : allowlist, blocage IP metadata, egress isolée.

alg=none, key confusion, replay, pourquoi les tokens courts battent les blacklists.

Exécution de code à distance

Désérialisation non sûre, APIs eval-like, command injection, supply chain.

Scan de vulnérabilités

SAST, DAST, scanners de dépendances. Les intégrer en CI sans fatigue des faux positifs.

Code review sécurité

Repérer les bugs courants dans les PRs : une checklist qui dépasse l'intuition.

Réponse aux incidents

Détecter, contenir, éradiquer, récupérer. Communication. Postmortem blameless.