Sécurité des applications Web

Chapitre 22. Se défendre contre les attaques XSS

Cet ouvrage a été traduit à l'aide de l'IA. Tes réactions et tes commentaires sont les bienvenus : [e-mail]

Dans la deuxième partie, nous avons discuté en profondeur des attaques XSS qui profitaient de la capacité du navigateur à exécuter du code JavaScript sur les appareils des utilisateurs. Les vulnérabilités XSS sont très répandues et capables de causer un nombre important de dommages, car les vulnérabilités d'exécution de scripts ont une large portée de dommages potentiels.

Heureusement, bien que le XSS apparaisse souvent sur le Web, il est assez facile de l'atténuer ou de l'empêcher entièrement grâce aux meilleures pratiques de codage sécurisé et aux techniques d'atténuation spécifiques au XSS. Ce chapitre est consacré à la protection de ta base de code contre les XSS.

Meilleures pratiques de codage anti-XSS

Il y a une règle majeure que tu peux mettre en œuvre au sein de ton équipe de développement afin de réduire considérablement les chances de tomber sur des vulnérabilités XSS : "Ne permets pas que des données fournies par l'utilisateur soient transmises au DOM, sauf sous forme de chaînes de caractères."

Une telle règle n'est pas applicable à toutes les applications, car de nombreuses applications ont des fonctions qui intègrent le transfert de données entre les utilisateurs et le DOM. Dans ce cas, nous pouvons rendre cette règle plus spécifique : "ne jamais autoriser le passage dans le DOM de données ...