## Quand la conformité rejoint le code Le bilan des sanctions 2025 de la CNIL rappelle que la sécurisation insuffisante des données personnelles figure parmi les motifs les plus fréquents de sanction. Sur les 83 sanctions prononcées cette année-là, **14 organismes** ont été épinglés pour des failles concrètes : mots de passe trop faibles, comptes partagés, absence de mesures adaptées au risque. Le montant cumulé des amendes dépasse **486 millions d'euros**, un niveau sans précédent qui ne se limite pas aux géants du numérique. Pour un développeur, une équipe produit ou une PME qui livre une application web, le message est clair en 2026 : protéger les données n'est plus un chapitre juridique réservé au DPO. C'est une exigence technique quotidienne, mesurable par des contrôles, des plaintes et des fuites médiatisées. L'OWASP Top 10:2025, devenu la référence opérationnelle cette année, confirme ce glissement : la chaîne d'approvisionnement logicielle, les mauvaises configurations et les contrôles d'accès défaillants dominent désormais le paysage des risques. ## Ce qui a changé depuis 2025 Le contrôle d'accès brisé reste en tête du classement OWASP. Les API mal protégées (BOLA, BFLA) et le SSRF sont désormais regroupés dans cette catégorie. Les échecs de la chaîne d'approvisionnement arrivent en 3e position : dépendances, pipelines CI/CD, mécanismes de mise à jour et intégrité des builds. La mauvaise gestion des conditions exceptionnelles entre dans le Top 10 : erreurs exposées, logique fail-open, comportements imprévisibles sous charge. Commencez par auditer un seul parcours sensible (connexion, export de données, paiement) avec la liste OWASP comme grille de lecture, avant d'élargir à toute l'application. ## Données personnelles : au-delà du bandeau cookies Le RGPD impose des obligations que le code doit traduire concrètement. La CNIL insiste régulièrement sur quatre axes qui reviennent dans ses sanctions récentes : - **Minimisation** : ne collecter que les champs strictement nécessaires au service rendu. - **Durée de conservation** : supprimer ou anonymiser les données lorsque la finalité disparaît. - **Information des personnes** : politique de confidentialité compréhensible, droits d'accès et de suppression opérationnels. - **Sécurité technique et organisationnelle** : chiffrement, gestion des accès, journalisation, procédure en cas de violation. Les sanctions cookies et traceurs ont concentré l'attention médiatique en 2025, mais les développeurs restent en première ligne sur la sécurité des bases, des sauvegardes et des interfaces d'administration. Un formulaire mal filtré ou une route `/api/users/:id` sans vérification d'identité peut coûter bien plus qu'un bandeau mal configuré. ## Chiffrement et transport : les bases non négociables ### HTTPS partout Le chiffrement en transit via TLS reste le socle minimal. Les navigateurs modernes signalent les sites HTTP comme non sécurisés, et les cookies sensibles doivent transiter avec les attributs `Secure` et `HttpOnly`. La documentation web.dev sur HTTPS rappelle qu'un certificat valide protège l'intégrité des échanges, pas seulement la confidentialité. ### Données au repos Les mots de passe ne se stockent jamais en clair. Utilisez un algorithme adapté (Argon2, bcrypt, scrypt) avec un sel unique par enregistrement. Pour les données personnelles sensibles (santé, coordonnées bancaires, documents), le chiffrement au repos et une gestion rigoureuse des clés (coffre, rotation, séparation des environnements) réduisent l'impact d'un accès non autorisé au disque ou à une sauvegarde. ### Secrets et configuration Les clés API, tokens et mots de passe de base de données n'ont pas leur place dans le dépôt Git. Variables d'environnement, gestionnaire de secrets et revue des droits d'accès au pipeline CI limitent les fuites accidentelles qui alimentent les incidents réels. ## Validation, injection et logique métier L'injection (SQL, XSS, commandes OS) recule dans le classement OWASP, mais reste présente dans les applications legacy et les prototypes livrés trop vite. Quelques réflexes efficaces : - **Requêtes paramétrées** ou ORM typé pour toute interaction base de données. - **Encodage contextuel** à l'affichage (HTML, attributs, URL, JSON). - **Validation côté serveur** systématique, même si le front vérifie déjà les champs. - **Limites de taille et de format** sur les uploads et les payloads API. La catégorie *conception non sécurisée* du Top 10 rappelle qu'un filtre technique ne compense pas un flux métier dangereux : transfert de propriété sans re-authentification, export massif sans alerte, élévation de privilèges implicite. Ces failles se corrigent en amont, lors du design, pas uniquement en fin de sprint. ## Authentification et gestion des sessions Les échecs d'authentification restent dans le Top 10 OWASP. En 2026, la combinaison gagnante pour la plupart des applications web combine : - **Authentification multifacteur** sur les comptes à privilèges et les accès distants. - **Passkeys ou WebAuthn** là où l'écosystème utilisateur le permet, pour réduire le phishing par vol de mot de passe. - **Sessions courtes**, invalidation à la déconnexion, protection CSRF sur les actions sensibles. - **Limitation des tentatives** et alertes sur les connexions depuis des pays ou appareils inhabituels. Les incidents récents sanctionnés par la CNIL rappellent aussi l'importance des comptes nominatifs : un identifiant partagé entre plusieurs personnes empêche toute investigation après incident. ## Chaîne d'approvisionnement et dépendances La nouvelle catégorie OWASP consacrée à la chaîne d'approvisionnement reflète une réalité quotidienne : une application Next.js, Laravel ou Django embarque des centaines de packages transitifs. Sans processus, une vulnérabilité connue dans une dépendance devient une porte d'entrée. - Verrouillez les versions (`package-lock.json`, `pnpm-lock.yaml`, `poetry.lock`). - Intégrez un scan de vulnérabilités dans la CI (Dependabot, Snyk, OWASP Dependency-Check). - Signez les artefacts de build et vérifiez l'intégrité des images Docker avant déploiement. - Restreignez les tokens CI à la durée et au périmètre strictement nécessaires. Un `npm install` sur une machine de développeur compromis ou un script post-install malveillant peut contaminer toute la chaîne de livraison. Traiter le pipeline comme une surface d'attaque fait partie du métier en 2026. ## Journalisation, alertes et réponse La catégorie *échecs de journalisation et d'alerte* du Top 10 OWASP insiste sur un point souvent négligé : sans traces exploitables, une intrusion reste invisible jusqu'à la notification d'un tiers ou d'un client. - Journalisez les connexions admin, les changements de rôle, les exports de données et les erreurs d'authentification répétées. - Centralisez les logs avec rétention adaptée au risque et accès restreint. - Définissez des alertes sur des seuils simples (volume d'échecs MFA, pics de trafic sortant, création massive de comptes). - Documentez la procédure de violation de données : qui prévient la CNIL, dans quel délai, comment informer les personnes concernées. Les outils de monitoring applicatif (Sentry, OpenTelemetry) complètent la sécurité en reliant erreurs techniques et signaux de compromission. ## Outils utiles sans noyer l'équipe | Outil | Usage principal | | --- | --- | | OWASP ZAP | Tests dynamiques (DAST) sur environnement de préproduction | | Dependabot / npm audit | Surveillance des CVE dans les dépendances | | Burp Suite Community | Analyse manuelle des requêtes et des sessions | | Cloudflare ou WAF équivalent | Filtrage DDoS, règles basiques, rate limiting | Aucun scanner ne remplace une revue de code ciblée sur les parcours critiques. L'objectif est un filet régulier, pas un audit ponctuel avant mise en production. ## Checklist avant mise en ligne ### Collecte et stockage - Inventorier les données personnelles traitées (registre ou documentation interne). - Chiffrer les sauvegardes et tester leur restauration au moins une fois par trimestre. - Vérifier les durées de conservation et les jobs de purge automatique. ### Application - Forcer HTTPS, configurer HSTS et les en-têtes de sécurité (CSP, X-Frame-Options). - Couvrir les routes API avec contrôle d'accès explicite, pas seulement le front. - Désactiver les modes debug et les pages d'erreur verbeuses en production. ### Exploitation - MFA obligatoire sur l'administration, les dépôts Git et l'hébergement. - Scan de dépendances à chaque merge sur la branche principale. - Plan de réponse incident testé (au moins en table-top) avec contacts et délais RGPD. ## Pour aller plus loin sur le blog Replacer l'authentification dans votre stratégie globale avec Les passkeys en entreprise en 2026, compléter par Phishing en 2026 : protéger les accès métier et Webhooks sécurisés : signature, idempotence et retries. ## Sources - CNIL : bilan des sanctions 2025 - OWASP Top 10:2025 - OWASP Top 10:2025, introduction - web.dev : pourquoi HTTPS compte - OWASP REST Security Cheat Sheet En 2026, la sécurité des données dans le développement web se joue autant dans le pipeline de livraison que dans le code d'une route API. Les équipes qui documentent leurs choix, mesurent leurs écarts et corrigent avant le contrôle ou la fuite prennent une longueur d'avance durable.

#owasp

Sécurité des données en développement web en 2026