Je veux
vérifier que rien ne fuit
Deux passes complémentaires : les failles applicatives, et les secrets écrits en dur qui partiront avec le prochain commit.
3 lames sur 3 viennent de la même enseigne —Les Juges, le verdict.
Le tirage — 3 lames
La lecture
audit securite
Les failles applicatives : injection, authentification, droits, dépendances.
serruriereserrurière des portes du bastion
hardcode audit
Les clés, jetons, URL internes et mots de passe écrits en dur.
demineusedébusqueur de secrets en dur
adversarial review
La relecture qui joue l’attaquant sur les chemins trouvés.
eprouveuseéprouveuse à plusieurs voix
À la fin : Un dépôt qu’on peut ouvrir sans retenir son souffle.
Si ce n’est pas tout à fait ça
- Je veux faire relire mon code sérieusementDeux relectures différentes : une notée à deux voix, une adversariale qui cherche à casser. Elles ne trouvent pas les mêmes choses.
- Je veux faire une API que d’autres vont utiliserLe contrat d’abord : ce que l’API promet, ce qu’elle refuse, comment elle s’authentifie. Le code vient après, et les tests avec.
- Je veux publier une versionLa release totale : le feu vert, le rangement, la documentation, le changelog, le site, et le kit de communication prêt à partir.
Tirage écrit à la main dans data/parcours.json, tenu parscripts/parcours/check-parcours.sh : chaque lame citée existe dans le registre du framework.