Sécuriser les secrets d’une application
Définition (sécurisation des secrets d’une application) : les secrets d’une application sont les informations sensibles qui lui permettent de fonctionner : mots de passe de base de données, clés API, jetons d’accès, certificats. Les sécuriser, c’est contrôler où ils sont stockés et qui peut y accéder.
La fuite d’un seul secret peut suffire à compromettre un site entier ou les services auxquels il est connecté : facturation à vos frais, accès aux données clients, envoi de spam. Des robots scannent en permanence les dépôts de code publics à leur recherche.
Les bonnes pratiques :
- Aucun secret dans le code ni dans les dépôts Git.
- Des variables d’environnement ou un coffre à secrets.
- Des droits minimaux et une durée de vie limitée pour chaque clé.
- Une rotation régulière et après tout départ ou incident.
En pratique : commencez par rechercher les secrets présents dans votre code et l’historique de vos dépôts, avec un outil de détection comme Gitleaks. Révoquez et remplacez immédiatement ceux qui ont été exposés, déplacez les autres dans des variables d’environnement ou un coffre, puis ajoutez une vérification automatique avant chaque envoi de code pour éviter toute nouvelle fuite.
Les erreurs fréquentes :
- Supprimer une clé exposée du code sans la révoquer.
- Partager des secrets par email ou messagerie.
- Utiliser la même clé pour tous les environnements.
Comment Aurone vous accompagne : nous auditons le code et la configuration de votre site pour détecter les secrets exposés et mettons en place un stockage sécurisé. Découvrez notre offre de protection de site web.
Par où commencer : consultez nos articles sur la sécurité web et l’audit de sécurité.
