Ce que tu apprends
- Rate-limiter chaque endpoint public pour stopper le brute force, le spam et l'abus qui gonfle la facture
- Les headers CSP, chiffrer les credentials stockées et tenir un audit log
- Une checklist pré-public de repo pour que les secrets de l'historique ne deviennent jamais publics
Vue d'ensemble
À l'instant où votre app est sur l'Internet public, elle est sondée par des bots en quelques minutes. Vous n'avez pas besoin d'une équipe de sécurité pour être sûr contre les attaques courantes, vous avez besoin d'une poignée d'essentiels, appliqués systématiquement : plafonnez chaque endpoint public avec un rate limit, verrouillez avec une CSP ce que le navigateur exécutera, chiffrez les credentials que vous stockez, loggez qui a fait quoi, et ne passez jamais un repo en public sans auditer son historique pour les secrets. Cette leçon rend chacun concret.
Ce que vous allez apprendre
Vous allez apprendre à ajouter des rate limits aux endpoints publics, à poser un header Content Security Policy, à chiffrer les credentials stockées au repos, à tenir un audit log utile et à faire tourner un audit pré-public de repo qui attrape les secrets cachés dans de vieux commits. Ce sont les mesures qui séparent un projet de hobby de quelque chose sur lequel vous pouvez responsablement diriger de vrais utilisateurs.
Prérequis
Les leçons sur les secrets des Cours 1 et 3, car plusieurs mesures ici s'appuient sur le fait de garder les secrets dans les variables d'environnement et hors du code. Une app déployée avec au moins un endpoint ou formulaire public rend la leçon concrète, mais vous pouvez tout appliquer à votre prochain projet dès le premier commit.
Un fichier .env stocke des secrets comme les clés d'API en dehors de votre code, pour qu'ils ne soient jamais publiés. Apprenez ce que c'est et comment le garder sûr.
Les tokens sont les morceaux de texte dans lesquels les modèles d'IA lisent et sont facturés. Apprenez ce qu'est un token, pourquoi il compte pour les coûts et en quoi il diffère d'un token de sécurité.
GitHub est un site web qui stocke vos projets Git en ligne pour les sauvegarder, collaborer et déployer. Apprenez ce que c'est et comment l'utiliser.
Un repository est votre dossier de projet suivi par Git, et le contrôle de version est le filet de sécurité qui enregistre chaque modification. Apprenez les deux en langage clair.
Le problème
Trois omissions nuisent aux petits builders encore et encore. Premièrement : un endpoint non protégé se fait marteler - un formulaire de login brute-forcé, un formulaire de contact spammé ou un endpoint d'IA appelé en boucle jusqu'à ce que votre facture fournisseur explose. Deuxièmement : une clé API ou un mot de passe stocké siège en clair, si bien qu'une seule fuite de base de données donne à un attaquant tout d'un coup. Troisièmement, et le plus fréquent : une fondatrice rend un repo public pour le partager, et un secret committé il y a deux ans est maintenant pour toujours sur l'internet ouvert. Chacun est évitable avec une habitude.
Commentaires
Chargement des commentaires.
Poster un commentaire