KitUtils

Sécurité et identité

8 guides · environ 1 heure de lecture

Cette page a été traduite de l'anglais avec l'aide de l'IA, puis vérifiée par rapport à l'original. Lire la version anglaise

La plupart des intrusions exploitent des bugs applicatifs ordinaires et des identités mal configurées, pas une cryptographie exotique. Ce parcours explique comment penser la sécurité dans l'architecture d'une application, puis approfondit les protocoles d'identité que tout développeur rencontre — OAuth 2.0, OpenID Connect, SAML —, la place de la gestion des identités et des accès dans une organisation, la bonne façon de sécuriser des API REST avec des jetons, et les risques de l'OWASP Top 10 avec des parades concrètes.

À qui s'adresse ce parcours

  • Développeurs backend et API
  • Architectes qui conçoivent l'authentification
  • Développeurs qui s'intègrent à des fournisseurs d'identité

Parcours d'apprentissage

Lisez dans l'ordre pour suivre un cours complet, ou choisissez le sujet dont vous avez besoin.

  1. 1Architecture de sécurité applicative : threat modeling et principes de conceptionIntégrer la sécurité dès la conception : threat modeling avec STRIDE, frontières de confiance, moindre privilège, défense en profondeur, secrets et pipeline.Intermédiaire11 min de lecture
  2. 2OAuth 2.0 expliqué : rôles, grants, PKCE et bonnes pratiques actuellesComment OAuth 2.0 délègue l'autorisation : rôles, authorization code flow avec PKCE, client credentials, device flow, scopes et RFC 9700.Intermédiaire8 min de lecture
  3. 3OpenID Connect : ID token, discovery, nonce et gestion de sessionOpenID Connect ajoute l'identité à OAuth 2.0 : ID token, discovery et JWKS, UserInfo, nonce face à state, déconnexion et validation rigoureuse.Intermédiaire8 min de lecture
  4. 4SAML 2.0 et SSO : assertions, bindings et fédération d'identitéLe fonctionnement du SSO SAML : assertions, flux initiés par le SP ou l'IdP, bindings HTTP, métadonnées et certificats, signatures et single logout.Intermédiaire9 min de lecture
  5. 5Gestion des identités et des accès : cycle de vie, MFA et modèles d'autorisationL'IAM pour les développeurs : arrivées, mobilités et départs, passkeys et MFA, stockage des mots de passe, RBAC, ABAC ou ReBAC, LDAP, SCIM et revue des accès.Intermédiaire10 min de lecture
  6. 6Sécuriser des API REST avec JWT : vérification, claims et révocationVérifier un JWT sans faille : structure JWS, liste blanche d'algorithmes, rotation JWKS, validation des claims, révocation, stockage et défenses de l'API.Avancé9 min de lecture
  7. 7OWASP Top 10 : les dix catégories de risques et comment corriger chacuneChaque catégorie de l'OWASP Top 10 illustrée par une faille réaliste et sa correction dans une stack web Java, et comment l'ASVS en fait des exigences.Intermédiaire10 min de lecture
  8. 8Les fondamentaux de la sécurité de l'information pour les développeursTriade CIA, vocabulaire du risque, primitives cryptographiques, TLS et PKI, normes de gouvernance, réponse aux incidents et protection des données.Débutant12 min de lecture

Pour continuer

Spring FrameworkInjection de dépendances, configuration des beans, AOP, accès aux données, MVC, REST, sécurité et tests : Spring Framework expliqué pas à pas.10 guides →Architecture logicielleSystèmes en couches, SOA, microservices, DDD, REST et gestion d'API, systèmes réactifs, performance, TOGAF et cohérence distribuée.12 guides →Cloud computingFondamentaux du cloud, services clés d'AWS et Azure, conception well-architected, migration, haute disponibilité, applications cloud-native et coûts.8 guides →