Sécurité web vérifiable

Définir les actifs, frontières et rôles. Choisir un périmètre de vérification selon le risque et couvrir les autorisations à chaque opération serveur.

Vérifier sessions, validation, secrets, journalisation et limites d’abus. Utiliser des tests négatifs entre comptes et entre rôles, y compris sur les routes directes.

Contrôle

Rejouer des requêtes avec un autre compte, un rôle réduit et une session expirée. Les accès sont refusés sans exposition de données.

Exemple

Tester que le compte A ne peut ni lire ni modifier la facture de B par URL directe.