MingxiSecurity CheckDes guides pratiques pour la sécurité des sites et API des PME : définir le périmètre, comprendre les risques et organiser les corrections.
Deux devis peuvent couvrir des travaux différents. Comparez la cible, les accès, les preuves, les exclusions et le retest. Le contrôle standard Mingxi à US$120 concerne une cible publique convenue, sans connexion ; ce n’est pas un test d’intrusion complet de l’application.
Effacer une clé secrète envoyée au navigateur n’invalide pas ses copies. Son propriétaire doit la révoquer ou la renouveler, examiner son usage et nettoyer les copies exposées. Vérifiez d’abord sa nature : certains services fournissent volontairement des clés publiques.
Vérifiez la version déployée, pas seulement l’aperçu. Commencez par les fichiers publics, les secrets et la validation côté serveur. Notez séparément les contrôles qui nécessitent le code source ou des comptes autorisés.
L’absence de commentaires signifie qu’aucun problème n’a été signalé pendant cette revue. Elle ne prouve pas la sécurité du service déployé. Vérifiez le code disponible, les preuves et les contrôles non réalisés.
Une injection de prompt peut venir d’un document retrouvé comme d’un message. Pour un chatbot relié à des données ou outils, examinez ce qu’il peut lire et exécuter. Les consignes système ne remplacent pas les contrôles hors du modèle.
Commencez par les services publics, leurs données et leurs responsables. Un contrôle utile produit des actions attribuées et vérifiables, pas seulement une note de scanner.
La boîte noire décrit la connaissance interne du système par le testeur. Le scan est une technique. Une évaluation délimitée peut associer automatisation et analyse manuelle.
Avant de commencer, convenez des actifs, actions permises, horaires et contacts d’urgence. Ce plan permet de suspendre les tests en cas d’effet inattendu.
L’authentification identifie l’utilisateur. L’autorisation au niveau objet décide s’il peut accéder à un enregistrement précis. Une API client a besoin des deux.
Une pièce jointe est une donnée non fiable. Validation, stockage privé et récupération contrôlée ont des fonctions distinctes ; limiter les extensions ne suffit pas.
L’examen doit couvrir la récupération du compte et les changements sensibles. Une connexion solide peut être contournée par une procédure de récupération plus faible.
HTTPS protège les échanges en transit. Il ne décide pas si un client peut lire le dossier d’un autre ni si les fichiers restent privés.
Combinez preuves techniques et contexte métier. Un niveau de gravité amorce la discussion, mais ne remplace pas l’analyse de l’exposition et des responsabilités.
Lisez le périmètre et les limites avant le nombre de problèmes. Distinguez ensuite décisions métier, travaux techniques et questions encore ouvertes.
Vérifiez le correctif dans l’environnement concerné. Le contre-test doit confirmer la résolution du problème et le maintien des usages légitimes.