Je veux
vérifier que rien ne fuit
Deux passes complémentaires : les failles applicatives, et les secrets écrits en dur qui partiront avec le prochain commit.
À la fin
Un dépôt qu’on peut ouvrir sans retenir son souffle.
2 cartes sur 3 viennent du même groupe —Les majeurs, orienter.
Les phrases, dans l’ordre
Copiez une phrase, laissez l’étape rendre ce qui est nommé, puis passez à la suivante.
audit securite
Les failles applicatives : injection, authentification, droits, dépendances.
Sous le capot
Serruriereserrurière des portes du bastion
hardcode audit
Les clés, jetons, URL internes et mots de passe écrits en dur.
Sous le capot
Demineusedémineuse des secrets en dur
adversarial review
La relecture qui joue l’attaquant sur les chemins trouvés.
Sous le capot
Eprouveuseéprouveuse à plusieurs voix
Sous le capot — 3 cartes
Si ce n’est pas tout à fait ça
- Je veux faire relire mon code sérieusementDeux relectures différentes : une notée à deux voix, une adversariale qui cherche à casser. Elles ne trouvent pas les mêmes choses.
- Je veux faire une API que d’autres vont utiliserLe contrat d’abord : ce que l’API promet, ce qu’elle refuse, comment elle s’authentifie. Le code vient après, et les tests avec.
- Je veux publier une versionLa release totale : le feu vert, le rangement, la documentation, le changelog, le site, et le kit de communication prêt à partir.
Tirage écrit à la main dans data/parcours.json, tenu par scripts/parcours/check-parcours.sh : chaque carte citée existe dans le registre du framework.